Regjistrimi i një përdoruesi VPN: së pari gjeni pronarin e identitetit

Dikush kërkon akses VPN, dhe instinkti i parë është të ekzekutohet adduser në server. Ky instinkt është i saktë vetëm në një grup të ngushtë implementimesh. Përpara se të krijoni çdo gjë, hapni konfigurimin e serverit dhe zbuloni cili produkt funksionon atje dhe ku vërteton kredencialet, sepse llogaria mund të jetë në një bazë të dhënash të produktit, te një ofrues identiteti ose në stivën e vetë autentikimit të hostit. Krijimi i llojit të gabuar të llogarisë e lë personin me një hyrje që funksionon dhe pa tunel.

Një profil klienti që thotë OpenVPN përshkruan protokollin, jo sistemin e identitetit pas tij.

Filloni nga serveri, jo nga adduser

Së pari identifikoni produktin. Community OpenVPN është demoni plus çdo autentikim që keni lidhur me të, ndërsa Access Server është një produkt me shtresën e vet të përdoruesve. Kërkoni konfigurimin, emrin e njësisë dhe listën e paketave, dhe kontrolloni nëse ekziston një ndërfaqe web për menaxhimin e përdoruesve. Më pas shikoni si profili i implementuar pret që klientët të provojnë kush janë: me certifikatë, me emër përdoruesi dhe fjalëkalim, ose me të dyja. Ai përgjigje emërton sistemin që zotëron llogarinë.

Vetëm pas kësaj shprehja krijimi i përdoruesit ka kuptim. Në një implementim vetëm me certifikata, do të thotë të lëshohet një identitet pajisjeje përmes procesit të miratuar, dhe një hyrje Unix nuk ndryshon asgjë. Në një implementim me fjalëkalim, do të thotë backend-i që vërteton vërtet fjalëkalimin.

Katër backend, katër vende për të krijuar llogarinë

Autentikimi lokal i Access Server mban llogaritë në bazën e vet të dhënash, kështu që ndërfaqja për krijimin e tyre i përket produktit dhe jo hostit. PAM ia delegon vërtetimin stivës së sistemit operativ, dhe për këtë arsye një llogari lokale Unix mund të jetë pjesë e regjistrimit kur shërbimi ka zgjedhur pikërisht atë stivë. LDAP, RADIUS dhe SAML e zhvendosin vërtetimin në një shërbim të jashtëm, ku jetojnë furnizimi, politika e fjalëkalimeve dhe MFA. Access Server në të katër rastet mund të mbajë ende certifikata dhe leje për çdo përdorues, dhe pikërisht kjo e bën ndarjen konfuze.

Kontrolloni metodën efektive për këtë përdorues konkret, jo vlerën e paracaktuar globale. Access Server 2.10 dhe versionet pasuese mund të zbatojnë metoda të ndryshme autentikimi për grup ose për përdorues, kështu që një vlerë e paracaktuar lokale nuk provon që llogaria përpara jush vërtetohet lokalisht.

E drejta është një vendim i veçantë

Autentikimi përgjigjet kush është personi; e drejta përgjigjet deri ku mund të arrijë. Mbajini si dy hapa, sepse një hyrje e suksesshme nuk është dhënie. Caktoni me qëllim rrugët e synuara, lejet e burimeve dhe të drejtat administrative, dhe konfirmoni që aksesi i palidhur mbetet i refuzuar. Aty ku implementimi mbështet identitete individuale, lëshoni një për person në vend që të përcillni profilin e dikujt tjetër, sepse një profil i përbashkët nuk mund të revokohet për një person të vetëm.

Materiali i klientit ka gjithashtu rëndësi. Një profil me hyrje automatike dhe një hyrje interaktive e përdoruesit përfaqësojnë marrëdhënie të ndryshme autentikimi, dhe zëvendësimi i njërës me tjetrën ndryshon atë që serveri vërteton në të vërtetë.

Revokimi i aksesit është pjesë e regjistrimit

Shkruani tre pronarë ndërsa përdoruesi krijohet: kush vërteton llogarinë, kush autorizon aksesin VPN dhe cila pajisje ose profil përfaqëson lidhjen. Këto mund të jenë tre sisteme të ndryshme, dhe një plan revokimi që emërton vetëm një prej tyre lë një rrugë të hapur. Kur personi largohet, hiqni të drejtën nga pronari i saj dhe revokoni çdo kredencial të lëshuar te pronari i saj. Fshirja e një skedari të shkarkuar nuk është revokim, dhe as fshirja e një zëri lokal nuk është, nëse një identitet i jashtëm autentikohet ende.

Më pas testoni regjistrimin siç do të bënte një sulmues: lidhuni një herë me identitetin e ri, konfirmoni aksesin në burimin e synuar dhe konfirmoni që një burim i palidhur refuzon ende. Një lidhje e parë që funksionon plus një test negativ është një regjistrim i përfunduar.

Mbajeni regjistrin me profilin të cilit i përket. Auditori i radhës do të pyesë kush mund të lidhej gjatë një muaji të caktuar, dhe përgjigja gjendet te ata tre pronarë.