சேவைக் கணக்கிற்கான VPN அணுகல்: சான்றிதழா அல்லது பகிரப்பட்ட உள்நுழைவா
கண்காணிப்பற்ற VPN அணுகலுக்கு இயந்திரச் சான்றிதழையும் சேமித்த கடவுச்சொல்லையும் ஒப்பிட்டு, உண்மையான அனுமதி வரம்பை உள்நுழைவுக்குப் பின் இயங்கும் கொள்கையில் வைக்கவும்.
கண்காணிப்பற்ற எந்த VPN அமைப்பையும் கிட்டத்தட்ட இரண்டு வடிவமைப்புகள் ஈடுகட்டுகின்றன: ஸ்கிரிப்டில் வைக்கப்பட்ட பகிரப்பட்ட மனித உள்நுழைவு, அல்லது ஹோஸ்டுடன் பிணைக்கப்பட்ட இயந்திரச் சான்றிதழ். அவை வெவ்வேறு இடங்களில் தோல்வியடைகின்றன, அது அமைப்பின் வேகத்தை விட முக்கியம். சேமித்த கடவுச்சொல் அதன் உரிமையாளர் மாற்றும்போது அல்லது வெளியேறும்போது உடைகிறது; சான்றிதழ் காலாவதியாகும்போது அல்லது விசை இல்லாமல் ஹோஸ்ட் மீண்டும் கட்டப்படும்போது உடைகிறது. எந்தச் செலவைத் தாங்க முடியும் என்பதை மூன்று நிபந்தனைகள் தீர்மானிக்கின்றன, அனுமதிக் கொள்கை செய்யாத வரை எந்த வடிவமைப்பும் எதையும் வரம்பிடவில்லை.
கணக்கில் இருந்து அல்ல, பணியில் இருந்து தொடங்குங்கள்
பணி எல்லையை வரையறுக்கிறது: எந்த இலக்குகள், எந்தச் சேவைகள், எந்த நேரங்கள், ஒரு அமர்வு எவ்வளவு நேரம் நீடிக்கலாம். சுரங்கப்பாதை வழி அந்த எல்லையில் பாதி மட்டுமே. அமர்வு அனுமதிக்கப்படுகிறதா என்பதை நுழைவாயில் தீர்மானிக்கிறது; அதன் பின்னால் உள்ள வளம் அமர்வு என்ன செய்யலாம் என்பதைத் தீர்மானிக்கிறது. பெயரிடப்பட்ட உரிமையாளருடன் பட்டியலை முதலில் எழுதுங்கள், ஏனெனில் இரு அடையாள வடிவமைப்புகளும் அதைப் பூர்த்தி செய்ய வேண்டும்.
எழுதும்போது அங்கீகாரத்தையும் அனுமதியையும் தனித்தனியாக வையுங்கள். அங்கீகாரம் யார் இணைக்கிறார்கள் என்பதற்குப் பதிலளிக்கிறது; அனுமதி அதன் பிறகு அமர்வு எங்கு செல்லலாம் என்பதற்குப் பதிலளிக்கிறது. RADIUS இரண்டாம் பகுதியை Filter-Id, Framed-IP-Address, Session-Timeout மற்றும் Class போன்ற பண்புகளாக எடுத்துச் செல்கிறது, உள்நுழைவு வெற்றியடைந்ததும் நுழைவாயில் அவற்றை இணைக்கிறது. உள்நுழைவை மாற்றிவிட்டு அனுமதியை அப்படியே விட்டுவிடும் வடிவமைப்பு எதையும் வரம்பிடவில்லை.
பகிரப்பட்ட மனித உள்நுழைவு: கடவுச்சொல்லே எல்லையாகிறது
மனிதக் கணக்கை மீண்டும் பயன்படுத்துவது வேகமான வழி, மிக மோசமாகப் பழையதாகும் வழியும் கூட. நற்சான்று கடவுச்சொல், எனவே அது ஸ்கிரிப்ட், சூழல் கோப்பு மற்றும் திட்டமிடல் கட்டமைப்பில் முடிகிறது, ஒவ்வொரு நகலுக்கும் சுழற்சி தேவை. உரிமையாளர் வெள்ளிக்கிழமை அதை மாற்றும்போது, அடுத்த இயக்கத்தில் பணி தோல்வியடைகிறது, யாரும் கவனிக்கவில்லை.
MFA என்பது இந்த வடிவமைப்பு வழக்கமாகச் சரிந்து விழும் இடம். ஸ்கிரிப்ட் புஷ் கோரிக்கைக்குப் பதிலளிக்க முடியாது, எனவே கணக்கு கொள்கையிலிருந்து விலக்கப்படுகிறது, தாக்குபவர் தேர்ந்தெடுக்கும் கணக்கு அதுவே. விலக்குகள், நம்பகமான இருப்பிட மாற்றுவழிகள் மற்றும் கணக்கிற்கான விலக்குகள் பெருகுகின்றன, அவற்றில் எதுவும் அடுத்து வாசிப்பவருக்குத் தெரிவதில்லை.
பணியின் உரிமை மற்றொரு செலவு. நுழைவாயில் பதிவில் ஒவ்வொரு அமர்வும் ஒரே பயனர் பெயரைச் சுமக்கிறது, எனவே இரவு ஒத்திசைவை அதை எழுதிய நபரின் வேலையிலிருந்து வேறுபடுத்த முடியாது, மேலும் பணியை ரத்து செய்வது அந்த நபரை ரத்து செய்வதாகும்.
இயந்திரச் சான்றிதழ்: ஹோஸ்டுடன் பிணைந்த அடையாளம்
சான்றிதழ் கேள்வியை கணக்கு அறிந்ததிலிருந்து ஹோஸ்ட் என்ன என்பதற்கு மாற்றுகிறது. EAP-TLS இல் வாடிக்கையாளர் சான்றிதழை வழங்கி பொருந்தும் தனிச்சாவியை வைத்திருப்பதை நிரூபிக்கிறார்; கொள்கை சேவையகம் தலைப்பு அல்லது கணினிக் கணக்கை ஒரு குழுவுடன் இணைத்து அந்தக் குழுவின் கொள்கையைப் பயன்படுத்துகிறது. கோரிக்கை இல்லை, உரைக் கோப்பில் அமர்ந்திருக்கும் பகிரப்பட்ட ரகசியம் இல்லை.
அது உருவாக்கும் எல்லை மக்கள் எதிர்பார்ப்பதை விடக் குறுகியது. சான்றிதழ் ஹோஸ்ட்டை அங்கீகரிக்கிறது, பணியை அல்ல, root அல்லது உள்ளூர் நிர்வாகி உரிமைகள் உள்ள யாரும் அந்த ஹோஸ்ட்டில் அந்த விசையைப் பயன்படுத்தலாம். விசையை தளம் பாதுகாக்கும் இடத்தில் வையுங்கள்: Windows சான்றிதழ் கிடங்கில் ஏற்றுமதி செய்ய முடியாததாக, சுயவிவரம் அனுமதிக்கும் இடத்தில் TPM ஆதரவுடன், அல்லது Linux இல் root உடைமையான 0600 கோப்பாக. ஹோஸ்ட் சமரசம் என்பது நற்சான்று சமரசம்.
காலாவதியாதல் மீண்டும் மீண்டும் நிகழும் தோல்வி. ஞாயிற்றுக்கிழமை காலாவதியாகும் சான்றிதழ் ஞாயிற்றுக்கிழமை பணியை நிறுத்துகிறது, நுழைவாயில் பொதுவாக தேதியைக் குறிப்பிடுவதற்குப் பதிலாக பொதுவான அங்கீகாரப் பிழையைத் தெரிவிக்கிறது. இயக்கக் கையேட்டின் பகுதியாக பணி ஹோஸ்ட்டிலிருந்து தேதிகளைச் சரிபார்க்கவும்:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsரத்துசெயலுக்கு நுழைவாயில் சரிபார்க்கும் ஒரு பாதை தேவை. OpenVPN crl-verify விருப்பத்தின் மூலம் CRL படிக்கிறது, strongSwan இணைப்புச் சுயவிவரம் கட்டப்பட்ட விதத்திற்கு ஏற்ப CRL அல்லது OCSP-ஐச் சார்ந்துள்ளது. இரண்டும் இணைக்கப்படவில்லை என்றால், ஹோஸ்ட்டை அகற்றுவது சான்றிதழ் காலாவதியாகும் வரை காத்திருப்பதாகும்.
இவற்றுக்கிடையே தீர்மானிக்கும் மூன்று நிபந்தனைகள்
உங்களிடம் உள்ள தளத்துடன் ஒப்பிடுங்கள், மேற்கோள் வடிவமைப்புடன் அல்ல.
முதல் நிபந்தனை: நுழைவாயில் இயந்திர அடையாளத்திற்கு அனுமதி வழங்க முடியுமா? அது RADIUS பயனர் பெயரை அகராதி பயனருடன் மட்டும் இணைத்தால், சான்றிதழ் ஹோஸ்ட்டை அங்கீகரித்து பின்னர் அனுமதியில் தடைபடுகிறது. இரண்டாம் நிபந்தனை: பணிக்கு பயனர் கணக்கு மட்டுமே சுமக்கும் வள அணுகல் தேவையா, இணைக்கப்பட்ட பங்கீடு அல்லது இருக்கைக்கு உரிமம் போல? அப்போது இயந்திர அடையாளம் மாற்ற முடியாது, நேர்மையான பதில் வரம்பிடப்பட்ட கொள்கையுடன் அர்ப்பணிக்கப்பட்ட பயனர் கணக்கு. மூன்றாம் நிபந்தனை: மனிதர் இல்லாமல் நற்சான்றை யார் சுழற்ற முடியும்? தானியங்கி பதிவு சான்றிதழ்களை வைத்திருக்க மலிவாக்குகிறது; ஒருவர் அறிந்த கடவுச்சொல் அல்ல.
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
அட்டவணையை செலவுப் பட்டியலாகப் படியுங்கள், தரவரிசையாக அல்ல. சேமித்த ரகசிய நிரல் ரத்துசெயல் வேகத்திலும் பயனர் கணக்குகளை மட்டும் புரிந்துகொள்ளும் வளங்களுடன் ஒத்துழைப்பதிலும் வெல்கிறது; சான்றிதழ் நிரல் சுழற்சியிலும் ஸ்கிரிப்ட் வேலை செய்ய MFA-ஐ பலவீனப்படுத்தாததிலும் வெல்கிறது.
வரம்பைக் கொள்கையில் வையுங்கள், அங்கீகாரத்திற்குப் பின்
எந்த அடையாளத்தைத் தேர்ந்தெடுத்தாலும், அனுமதி வரம்பு அங்கீகாரத்திற்குப் பின் இயங்கும் கொள்கைக்கே சொந்தம். NPS இல் பிணையக் கொள்கைகள் வரிசையாக மதிப்பிடப்படுகின்றன, ஒவ்வொரு நிபந்தனையுடனும் பொருந்தும் முதல் கொள்கை அதன் அமைப்புகளைப் பயன்படுத்துகிறது, எனவே குறுகிய கொள்கைக்கு மேலே வைக்கப்பட்ட பரந்த கொள்கை வாடிக்கையாளர் எதை வழங்கினாலும் முடிவைத் தீர்மானிக்கிறது. Microsoft நிபந்தனைகள் மற்றும் அமைப்புகளின் மாதிரியை அதன் NPS கொள்கை மேலோட்டத்தில் ஆவணப்படுத்துகிறது.
பணிக்கு அதன் சொந்தக் குழு அல்லது கொள்கை நிபந்தனையைக் கொடுங்கள், இயந்திர அடையாளம் சுமக்கும் ஒன்றை அடிப்படையாகக் கொண்டு: சான்றிதழ் வார்ப்புரு, அழைக்கும் நிலைய அடையாளம், அல்லது அர்ப்பணிக்கப்பட்ட தொகுப்பிலிருந்து ஒரு முகவரி. பின்னர் அமர்வை பண்புகளால் கட்டுங்கள்: உங்கள் நுழைவாயில் அதை இணைக்கும் பங்கிற்கான Filter-Id, சிக்கிய பணி நாட்களுக்கு அமர்வை வைத்திருக்காமல் மீண்டும் அங்கீகரிக்கும் குறுகிய Session-Timeout, மற்றும் நீங்கள் எதிர்ப்புறம் ஃபயர்வால் செய்யும் தொகுப்பிலிருந்து Framed-IP-Address. பயன்பாட்டு அனுமதி தனியாகவே இருக்கும்: தரவுத்தள சேவையகத்திற்கான சுரங்கப்பாதை அதற்குள் உள்ள அட்டவணையைப் படிக்கும் அனுமதி அல்ல.
மறுப்புகளைச் சரிபார்த்து, பின்னர் அகற்றலைத் திட்டமிடுங்கள்
வேலை செய்யும் அணுகல் குறைந்தபட்ச சலுகை பற்றி எதையும் நிரூபிக்காது. அதற்குப் பதிலாக மறுப்புகளைச் சோதியுங்கள்: பணி அடையாளத்துடன் இணைந்து பட்டியலுக்கு வெளியே ஒரு இலக்கை அடைய முயலுங்கள், நுழைவாயில் ஒன்றை மட்டும் அனுமதிக்க வேண்டும் என்றால் இரண்டாவது ஒரே நேர அமர்வைத் திறக்கவும், நற்சான்றை ரத்து செய்த பிறகு உள்நுழைவை மீண்டும் செய்யவும்.
பின்னர் அதே அமர்வை இரண்டு இடங்களில் உறுதிப்படுத்துங்கள். நுழைவாயில் பதிவு அங்கீகரித்த அடையாளத்தைக் காட்டுகிறது; கொள்கை சேவையகப் பதிவு எந்தக் கொள்கை பொருந்தியது, எந்தப் பண்புகளைத் திருப்பியது என்பதைக் காட்டுகிறது. OpenVPN இல் சேவையகம் சான்றிதழின் பொதுப் பெயரைப் பதிவு செய்கிறது, strongSwan இல் ipsec statusall பயன்பாட்டில் உள்ள அடையாளத்துடன் நிறுவப்பட்ட சுரங்கப்பாதையை அச்சிடுகிறது. அடையாளம் குறித்து இரு பதிவுகளும் உடன்படவில்லை என்றால், கொள்கை நீங்கள் கருதுவதை விட வேறொன்றுடன் பொருந்துகிறது.
அகற்றல் வடிவமைப்பின் பகுதி, சுத்தம் செய்யும் வேகம் அல்ல. நீக்க வேண்டிய அனைத்தையும் எழுதுங்கள் (சான்றிதழ் அல்லது கணக்கு, குழு உறுப்பினர், பிணையக் கொள்கை, தொகுப்புப் பதிவு, இலக்கில் ஃபயர்வால் விதி) மற்றும் பணி மீண்டும் கட்ட எளிதாக இருக்கும்போது ஒரு முறை இயக்குங்கள்.
இன்று தொடங்குகிறீர்கள் என்றால், இந்த வரிசையில் வேலை செய்யுங்கள்: வளப் பட்டியலை எழுதுங்கள், மூன்று நிபந்தனைகளுடன் அடையாளத்தைத் தேர்ந்தெடுங்கள், வரம்பைக் கொள்கையில் வையுங்கள், பணி நேரலைக்கு வரும் முன் ஒரு மறுப்பைப் பயிற்சி செய்யுங்கள்.