Ufikiaji wa VPN kwa akaunti ya huduma: cheti au kuingia kwa pamoja

Miundo miwili inashughulikia karibu kila usanidi wa VPN usio na msimamizi: kuingia kwa pamoja kwa binadamu kunakohifadhiwa katika hati, au cheti cha mashine kilichofungwa kwa mwenyeji. Hushindwa katika maeneo tofauti, na hilo ni muhimu zaidi kuliko kasi ya usanidi. Nenosiri lililohifadhiwa huvunjika wakati mmiliki wake analibadilisha au anaondoka; cheti huvunjika wakati kinaisha muda au wakati mwenyeji anajengwa upya bila ufunguo. Masharti matatu huamua gharama gani unaweza kubeba, na hakuna muundo unaoweka kikomo chochote hadi sera ya uidhinishaji ifanye hivyo.

Anza na kazi, si na akaunti

Kazi hufafanua mpaka: ni maeneo gani, ni huduma gani, saa zipi, kikao kinaweza kudumu kwa muda gani. Njia ya handaki ni nusu ya mpaka huo pekee. Lango huamua kama kikao kinaruhusiwa; rasilimali iliyo nyuma yake huamua kikao kinaweza kufanya nini. Andika orodha kwanza, na mmiliki aliyetajwa, kwa sababu miundo yote miwili ya utambulisho inapaswa kuikidhi.

Tenganisha uthibitishaji na uidhinishaji unapoandika. Uthibitishaji hujibu ni nani anayeunganisha; uidhinishaji hujibu kikao kinaweza kufikia wapi baadaye. RADIUS hubeba sehemu ya pili kama sifa kama Filter-Id, Framed-IP-Address, Session-Timeout na Class, na lango huzifunga mara kuingia kunafanikiwa. Muundo unaobadilisha kuingia na kuacha uidhinishaji kama ulivyo haujaweka kikomo chochote.

Kuingia kwa pamoja kwa binadamu: nenosiri linakuwa mpaka

Kutumia tena akaunti ya binadamu ni njia ya haraka zaidi na ile inayozeeka vibaya zaidi. Kitambulisho ni nenosiri, kwa hiyo huishia katika hati, faili ya mazingira na usanidi wa kipanga muda, na kila nakala inahitaji mzunguko. Mmiliki anapolibadilisha siku ya Ijumaa, kazi hushindwa katika utekelezaji unaofuata na hakuna anayeangalia.

MFA ndipo muundo huu huanguka mara nyingi. Hati haiwezi kujibu ombi la push, kwa hiyo akaunti huondolewa kwenye sera, na hiyo ndiyo akaunti ambayo mshambuliaji angechagua. Vighairi, upitishaji wa maeneo yanayoaminika na misamaha kwa kila akaunti huongezeka, na hakuna hata moja inayoonekana kwa mtu anayefuata kusoma mipangilio ya mpangaji.

Uhusishaji ni gharama nyingine. Kila kikao katika kumbukumbu ya lango hubeba jina la mtumiaji sawa, kwa hiyo usawazishaji wa usiku hauwezi kutofautishwa na kazi ya mtu aliyeiandika, na kubatilisha kazi kunamaanisha kubatilisha mtu huyo.

Cheti cha mashine: utambulisho unaofungwa kwa mwenyeji

Cheti hubadilisha swali kutoka kile akaunti inachojua hadi mwenyeji ni nini. Kwa EAP-TLS mteja huwasilisha cheti na huthibitisha umiliki wa ufunguo wa faragha unaolingana; seva ya sera huunganisha somo au akaunti ya kompyuta na kikundi na kutumia sera ya kikundi hicho. Hakuna ombi, hakuna siri ya pamoja iliyo katika faili ya maandishi.

Mpaka unaounda ni mwembamba kuliko watu wanavyotarajia. Cheti huthibitisha mwenyeji, si kazi, na yeyote mwenye haki za root au msimamizi wa ndani anaweza kutumia ufunguo huo kwenye mwenyeji huyo. Weka ufunguo mahali ambapo jukwaa hulinda: usioweza kuhamishwa katika hifadhi ya vyeti ya Windows, unaoungwa mkono na TPM pale wasifu unaruhusu, au faili 0600 inayomilikiwa na root kwenye Linux. Kuvamiwa kwa mwenyeji ni kuvamiwa kwa kitambulisho.

Kuisha muda ndicho kushindwa kunakorudia. Cheti kinachoisha muda siku ya Jumapili husimamisha kazi siku ya Jumapili, na lango kwa kawaida huripoti hitilafu ya jumla ya uthibitishaji badala ya kutaja tarehe. Angalia tarehe kutoka kwa mwenyeji wa kazi kama sehemu ya kitabu cha uendeshaji:

openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcerts

Kubatilisha kunahitaji njia ambayo lango huikagua. OpenVPN husoma CRL kupitia chaguo crl-verify, na strongSwan hutegemea CRL au OCSP kulingana na jinsi wasifu wa muunganisho umejengwa. Ikiwa hakuna hata moja iliyounganishwa, kuondoa mwenyeji kunamaanisha kusubiri cheti kiishe muda.

Masharti matatu yanayoamua baina yao

Fanya ulinganisho dhidi ya jukwaa ulilonalo, si dhidi ya muundo wa marejeleo.

Sharti la kwanza: je, lango linaweza kuidhinisha utambulisho wa mashine? Ikiwa linaunganisha tu jina la mtumiaji la RADIUS na mtumiaji wa saraka, cheti huthibitisha mwenyeji kisha kinakwama kwenye uidhinishaji. Sharti la pili: je, kazi inahitaji ufikiaji wa rasilimali ambao unabebwa na akaunti ya mtumiaji pekee, kama sehemu iliyounganishwa au leseni kwa kila kiti? Basi utambulisho wa mashine hauwezi kuchukua nafasi, na jibu la uaminifu ni akaunti maalum ya mtumiaji yenye sera iliyowekewa mipaka. Sharti la tatu: nani anaweza kuzungusha kitambulisho bila mtu katika mzunguko? Usajili wa kiotomatiki hufanya vyeti kuwa vya bei nafuu kuviweka; nenosiri linalojulikana na mtu mmoja halifanyi hivyo.

Soma jedwali kama orodha ya gharama, si kama mpangilio wa vyeo. Safu ya siri iliyohifadhiwa inashinda kwa kasi ya kubatilisha na kwa upatanishi na rasilimali zinazoelewa akaunti za watumiaji pekee; safu ya cheti inashinda kwa mzunguko na kwa kutodhoofisha MFA ili hati ifanye kazi.

Weka kikomo katika sera, baada ya uthibitishaji

Chochote utambulisho unaochagua, kikomo cha ruhusa ni cha sera inayoendeshwa baada ya uthibitishaji. Katika NPS sera za mtandao hupimwa kwa mpangilio na sera ya kwanza inayolingana na kila sharti hutumia mipangilio yake, kwa hiyo sera pana iliyowekwa juu ya nyembamba huamua matokeo, bila kujali mteja anawasilisha nini. Microsoft huandika muundo wa masharti na mipangilio katika muhtasari wa sera za NPS.

Ipe kazi kikundi chake au sharti la sera, lililojengwa juu ya kitu ambacho utambulisho wa mashine unabeba: kiolezo cha cheti, kitambulisho cha kituo kinachopiga, au anwani kutoka hifadhi maalum. Kisha funga kikao kwa sifa: Filter-Id kwa jukumu ambalo lango lako linailinganisha nalo, Session-Timeout fupi ili kazi iliyokwama ijithibitishe upya badala ya kushikilia kikao kwa siku nyingi, na Framed-IP-Address kutoka hifadhi unayolinda kwa firewall upande wa pili. Uidhinishaji wa programu hubaki tofauti: handaki kuelekea seva ya hifadhidata si ruhusa ya kusoma jedwali ndani yake.

Thibitisha kukataliwa, kisha panga kuondoa

Ufikiaji unaofanya kazi hauthibitishi chochote kuhusu haki za chini kabisa. Badala yake jaribu kukataliwa: unganisha kwa utambulisho wa kazi na ufikie mahali nje ya orodha, fungua kikao cha pili cha wakati mmoja ikiwa lango linapaswa kuruhusu kimoja tu, na urudie kuingia baada ya kubatilisha kitambulisho.

Kisha thibitisha kikao hicho hicho katika maeneo mawili. Kumbukumbu ya lango inaonyesha utambulisho uliothibitisha; kumbukumbu ya seva ya sera inaonyesha sera gani ililingana na sifa gani zilizorudishwa. Kwenye OpenVPN seva hurekodi jina la kawaida la cheti, na ipsec statusall kwenye strongSwan huchapisha handaki lililoanzishwa pamoja na utambulisho unaotumika. Ikiwa kumbukumbu mbili hazikubaliani kuhusu utambulisho, sera inalingana na kitu kingine tofauti na unachodhani.

Kuondoa ni sehemu ya muundo, si mbio za kusafisha. Andika kila kitu cha kufuta (cheti au akaunti, uanachama wa kikundi, sera ya mtandao, ingizo la hifadhi, kanuni ya firewall kwenye lengo) na uipitishe mara moja wakati kazi ni rahisi kujenga upya.

Ikiwa unaanza leo, fanya kazi kwa mpangilio huu: andika orodha ya rasilimali, chagua utambulisho kwa masharti matatu, weka kikomo katika sera, na ufanye mazoezi ya kukataliwa mara moja kabla kazi haijaanza kutumika.