Shahaadada VPN ma ilaaliso qaybta LDAP

Gelitaan VPN oo hubiya aqoonsiga marka loo eego hagaha waxa ku jira laba xiriir shabakadeed oo kala duwan. Xiriirka isticmaalaha ee irridda waxa ilaaliya shahaadada VPN-ka laftiisa iyo habaynta borotokoolka. Xiriirka irridda ee hagaha waa fadhi kale oo leh dejinta TLS u gaar ah, kayd kalsooni u gaar ah iyo habab guuldarro u gaar ah. Waxba ku saabsan kan hore ma dammaanad qaadayo wax ku saabsan kan labaad.

Ismaandhaafkaas waa habka ka dambeeya gelitaan u eg mid sir ah oo haddana u dira erayga sirta ah ee bind si cad.

Laba xiriir, laba go’aan oo kalsooni

Fadhiga dibadda waa waxa isticmaalaha arko: shahaado ku xidhan magaca martigeliyaha VPN, oo macmiilku xaqiijiyay, oo qaada isdhaafsiga aqoonsiga. Fadhiga gudaha waxa iska leh macmiilka hagaha ee gudaha irridda, kaas oo fura xiriirkiisa oo ama ka wada hadla TLS ama ma wada hadlo. Dhinac kastaa waxa uu xaqiijiyaa dhinaca uu la hadlayo, isaga oo isticmaalaya wax ka yimid fayl habayn kale. Qaybta gudaha oo si khaldan loo habeeyay way ka muuqan weydaa dhinaca isticmaalaha, sababtoo ah qaybta dibadda waxay u shaqaysaa si sax ah sida loo qorsheeyay.

Taasi waa sababta guuldarradiisu u tahay mid aamusan halkii ay qaylo lahayd. Irrid aan waligeed hubin shahaadada hagaha waxay wali si sax ah u aqoonsataa isticmaalayaasha; kaliya waxay ku aqoonsataa kanaal aysan hubin.

StartTLS iyo LDAPS, si ula kac ah loo doortay

StartTLS waxa uu u furmaa sida LDAP caadi ah oo meesha lagu casriyeeyaa, caadi ahaan dekedda 389. LDAPS waxa uu TLS la bilaabaa xiriirka, caadi ahaan 636. Labaduba waa sharci oo adabtaradu waa in ay la midoobaan waxa hagahu bixiyo. In la dalbado StartTLS waa ka duwan tahay in la tijaabiyo oo la sii wado marka casriyeyntu guuldarraysto, oo isla farqigaas ayaa erayga sirta ah ee bind ka bixi karaa. Habee habka adag, oo ha u oggolaan waddo kayd ah oo aan la ilaalin erayga sirta ah ee bind.

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

Xulashada -ZZ waa qodobka oo dhan: weydiintu way guuldarraysataa halkii ay aamusan u sii socon lahayd iyada oo aan casriyeyn. Magacyada iyo akoonnada safkaas waa tusaale. Dukumeentiga TLS ee OpenLDAP waxa uu daboolaa dejinta kalsoonida ee ka dambeysa.

Kaydka kalsoonida kee ayay maktabadda LDAP akhridaa?

Maktabadda macmiilka OpenLDAP waxay akhridaa habaynta kalsoonideeda, ha ahaato faylka nidaamka ama dejinta gaar u ah plugin-ka. Tilmaanta CA ee VPN waxay khusaysaa asaagga VPN mana aha caddayn in maktabadda LDAP ay akhrido isla faylkaas. Isticmaal magaca martigeliyaha hagaha ee shahaadadu dhab ahaan daboolo, oo ay la socoto silsiladda soo saaraha ee maktabaddu ku kalsoon tahay. Active Directory, dhig shahaado adeeg hagaha oo leh isticmaalka saxda ah ee aqoonsiga server-ka halkii aad ka malayn lahayd magac muuqda.

Goob kasta oo beddelka guuldarrada waa in ay buuxisaa isla siyaasadda aqoonsiga. Deegaan uu kan koowaad la xaqiijiyay kan labaadna aan la xaqiijin waa ka xun mid aan beddel lahayn, sababtoo ah waddada itaalka yar waxa la ogaadaa oo kaliya inta lagu jiro hakad.

Akoonka bind waa dhibaato gooni ah

Ilaalinta gaadiidka ma yareyso waxa akoonka bind uu samayn karo. Baaxadda raadinta hagaha, fasaxa kooxda iyo mudnaanta akoonka adeegga waa go’aamo kala duwan, oo akoon bind ballaaran wuu sii ballaadhaa ka dib marka TLS la shido. Isticmaal akoonka adeegga iyo saldhigga raadinta ugu cidhiidhsan ee isku-xidhka u baahan yahay, oo qor barta dhammaadka, habka TLS, mulkiilaha kalsoonida iyo hannaanka cusboonaysiinta oo la socda habaynta VPN.

Marka aan isku mid ahayn shahaadadu muuqato, dhig shahaadada ama silsiladda saxda ah. Daminta xaqiijinta waxay isku beddeshaa ismaandhaaf muuqda mid aan muuqan oo ka tagtaa xiriirka kalsoonida labaad oo aan la tijaabin.

Laba xiriir, laba mulkiile, laba taariikhood oo cusboonaysiin. In si gooni ah loogu hayo dukumeentiga ayaa ah waxa gelitaanka daacad ka dhigaya.