Registrera en VPN-användare: hitta identitetsägaren först

Någon ber om VPN-åtkomst, och den första reflexen är att köra adduser på servern. Den reflexen är bara rätt i en smal uppsättning driftsättningar. Innan du skapar något, öppna serverns konfiguration och ta reda på vilken produkt som körs där och var den validerar autentiseringsuppgifter, eftersom kontot kan ligga i en produktdatabas, hos en identitetsleverantör eller i värdens egen autentiseringsstack. Att skapa fel sorts konto lämnar personen med en fungerande inloggning och utan tunnel.

En klientprofil som säger OpenVPN beskriver protokollet, inte identitetssystemet bakom det.

Börja med servern, inte med adduser

Identifiera produkten först. Community OpenVPN är daemonen plus all autentisering du kopplade till den, medan Access Server är en produkt med eget användarlager. Be om konfigurationen, enhetens namn och paketlistan, och kontrollera om det finns ett webbgränssnitt för användaradministration. Titta sedan på hur den utrullade profilen förväntar sig att klienter bevisar vilka de är: ett certifikat, ett användarnamn och lösenord, eller båda. Det svaret namnger systemet som äger kontot.

Först efter det betyder uttrycket att skapa användaren något. I en driftsättning med bara certifikat innebär det att utfärda en enhetsidentitet genom den godkända processen, och en Unix-inloggning ändrar ingenting. I en lösenordsdriftsättning innebär det backend som faktiskt validerar lösenordet.

Fyra backends, fyra platser att skapa kontot

Access Servers lokala autentisering håller konton i sin egen databas, så gränssnittet för att skapa dem tillhör produkten och inte värden. PAM delegerar valideringen till operativsystemets stack, och därför kan ett lokalt Unix-konto vara en del av registreringen när tjänsten har valt just den stacken. LDAP, RADIUS och SAML flyttar valideringen till en extern tjänst, där etablering, lösenordspolicy och MFA ligger. Access Server kan fortfarande hålla certifikat och behörigheter per användare i alla fyra fallen, och det är det som gör uppdelningen förvirrande.

Kontrollera den effektiva metoden för just den här användaren i stället för den globala standarden. Access Server 2.10 och senare kan tillämpa olika autentiseringsmetoder per grupp eller per användare, så en lokal standard bevisar inte att kontot framför dig valideras lokalt.

Rättigheten är ett eget beslut

Autentisering svarar på vem personen är; rättigheten svarar på vad personen kan nå. Håll dem som två steg, eftersom en lyckad inloggning inte är en tilldelning. Tilldela de avsedda rutterna, resursbehörigheterna och de administrativa rättigheterna medvetet, och bekräfta att orelaterad åtkomst fortsatt nekas. Där driftsättningen stöder individuella identiteter, utfärda en per person i stället för att vidarebefordra någon annans profil, eftersom en delad profil inte kan återkallas för en person ensam.

Klientmaterialet spelar också roll. En autoinloggningsprofil och en interaktiv användarinloggning representerar olika autentiseringsrelationer, och att byta det ena mot det andra ändrar vad servern faktiskt verifierar.

Återkallande av åtkomst är en del av registreringen

Skriv ned tre ägare medan användaren skapas: vem som validerar kontot, vem som auktoriserar VPN-åtkomsten och vilken enhet eller profil som representerar anslutningen. Det kan vara tre olika system, och en återkallningsplan som bara nämner en av dem lämnar en väg öppen. När personen slutar, ta bort rättigheten från ägaren och återkalla varje utfärdad autentiseringsuppgift hos ägaren. Att radera en nedladdad fil är inte återkallande, och det är inte heller att radera en lokal post om en extern identitet fortfarande autentiseras.

Testa sedan registreringen som en angripare skulle göra: anslut en gång med den nya identiteten, bekräfta åtkomst till den avsedda resursen och bekräfta att en orelaterad resurs fortfarande nekar. En första anslutning som fungerar plus ett negativt test är en slutförd registrering.

Förvara posten tillsammans med profilen den tillhör. Nästa granskare kommer att fråga vem som kunde ansluta under en given månad, och svaret finns hos de tre ägarna.