పాత హాష్లను మళ్లీ ఉపయోగించకుండా VPN ప్రామాణీకరణ బ్యాకెండ్ స్థానభ్రంశం
VPN గుర్తింపులను తరలించడం కట్ ఓవర్, కాపీ కాదు: ప్రామాణీకరణ గొలుసును మ్యాప్ చేయండి, పైలట్ బృందాన్ని తరలించండి, క్రెడెన్షియల్ మార్పులను పరీక్షించండి మరియు రీసెట్ రద్దు చేయలేని పునరుద్ధరణను ప్రణాళిక చేయండి.
వినియోగదారు పేర్లు కొత్త డైరెక్టరీలో కనిపిస్తాయి, స్థానభ్రంశం పూర్తయినట్లు ప్రకటిస్తారు, ఇప్పటికీ లాగిన్లు విఫలమవుతాయి. గేట్వేకు ఇంకా మద్దతు ఉన్న ప్రామాణీకరణ మార్గం మరియు సరైన అధికార ఫలితం అవసరం, రెండూ ఇప్పుడు ఖాతాలను కలిగి ఉన్న డైరెక్టరీ నుండి రావు. బ్యాకెండ్ తరలింపు జీవిత చక్రం ఉన్న కట్ ఓవర్, కాపీ పని కాదు. క్రింది లక్షణమే సాధారణంగా తేడాను బయటపెడుతుంది.
లక్షణం: ఖాతాలు ఉన్నాయి, సెషన్లు లేవు
కొత్త డైరెక్టరీలో ప్రతి వినియోగదారు పేరు ఉంది, పరీక్ష బైండ్ విజయవంతమవుతుంది, VPN క్లయింట్ ఇప్పటికీ ప్రామాణీకరణ వైఫల్యాన్ని తిరిగి ఇస్తుంది. ఈ కలయిక గుర్తింపు ఉందని చూపిస్తుంది, కానీ గేట్వే ఉపయోగించే ధృవీకరణ మార్గం దానిని చేరుకోదు, లేదా అది నెరవేర్చలేని పద్ధతిలో చేరుకుంటుంది. రెండూ కాన్ఫిగరేషన్, ఇవి వేర్వేరు సమస్యలు.
మొదటిది వైరింగ్: గేట్వే సమాధానం ఇవ్వని బ్యాకెండ్ను సూచిస్తుంది, రెండో వైపు ఆశించని పంచుకున్న రహస్యాన్ని ఉపయోగిస్తుంది, లేదా కొత్త సేవ తిరిగి ఇవ్వని లక్షణాన్ని అడుగుతుంది. రెండవది క్రిప్టోగ్రాఫిక్: పద్ధతికి అసలు రహస్యం అవసరం, కొత్త నిల్వ దాని హాష్ను మాత్రమే ఉంచుతుంది. లోపం వచనం రెండు సందర్భాలలో సమానంగా కనిపిస్తుంది, అందుకే రెండింటినీ ఒకే సమస్యగా పరిగణిస్తారు.
ఖాతాలను తాకే ముందు ఈ రెండింటిని వేరు చేయడం ఒక వారం ఆదా చేస్తుంది. ఒకటి రూటింగ్ మరియు విశ్వాసం గురించిన ప్రశ్న, మరొకటి క్రెడెన్షియల్స్ రీసెట్ చేయడం గురించిన నిర్ణయం, రెండింటినీ కలపడం ఎవరూ ఆపాదించలేని మార్పులను సృష్టిస్తుంది.
ఎవరినైనా తరలించే ముందు గొలుసును మ్యాప్ చేయండి
ప్రతి క్లయింట్ ప్రొఫైల్కు ఆరు విషయాలు రాయండి: బాహ్య ప్రామాణీకరణ పద్ధతి, ఏదైనా అంతర్గత పద్ధతి, క్లయింట్ ఆశించే సర్వర్ గుర్తింపు, గేట్వే మరియు బ్యాకెండ్ మధ్య ఇంటర్ఫేస్, గేట్వే సమూహ సభ్యత్వానికి మ్యాప్ చేసే లక్షణం, దాని నుండి వచ్చే వనరు విధానం. వాటిని క్రమంగా చదవడం ఏ లింకుకు యజమాని లేదో చూపిస్తుంది. ప్రతి అంశానికి బాధ్యుడు ఉంటారు, ఎవరూ తనిఖీ చేయని చోట కట్ ఓవర్ విఫలమవుతుంది.
| Link | Question it answers |
|---|---|
| Client profile | Which method and server name does the client use? |
| Inner method | Is there a second authentication step? |
| Server identity | Which certificate or name must the client accept? |
| Gateway to backend | Which protocol, port and shared secret? |
| Attribute mapping | Which returned value becomes group membership? |
| Resource policy | What the resulting session may reach |
సాధారణ డైరెక్టరీ లాగిన్ ఆ గొలుసులో దాదాపు ఏమీ దాటదు. ఖాతా ఉందని, పాస్వర్డ్ పని చేస్తుందని నిరూపిస్తుంది, అంటే ఎప్పుడూ సందేహాస్పదం కాని భాగం.
హాష్లు పద్ధతుల మధ్య ప్రయాణించవు
క్రెడెన్షియల్స్ అనుకూలతను ఒకసారి తనిఖీ చేయాలి, ఏ సమూహమైనా కదలక ముందు. FreeRADIUS విభజనను స్పష్టంగా నమోదు చేస్తుంది: సర్వర్ స్వయంగా చేసే CHAP తనిఖీకి అసలు పాస్వర్డ్ అవసరం, MS-CHAP ఆ పాస్వర్డ్ను లేదా తగిన NT పదార్థాన్ని అంగీకరిస్తుంది. వేరే ప్రయోజనం కోసం తయారు చేసిన హాష్ ఏ సందర్భానికీ సరిపోదు, అది ఎంత బలంగా ఉన్నా.
తేడా రుజువును ఎవరు లెక్కిస్తారనేది. డైరెక్టరీతో బంధించి ధృవీకరించే పద్ధతి డైరెక్టరీ తనిఖీ చేయగలిగినదాన్ని తనిఖీ చేయనిస్తుంది. సవాలు ప్రతిస్పందనను తిరిగి లెక్కించి ధృవీకరించే పద్ధతికి రహస్యమే అవసరం, ఎందుకంటే సర్వర్ కూడా అదే గణన చేయాలి.
పదార్థం లేని చోట, నిజాయితీ ఎంపికలు మద్దతు ఉన్న రీసెట్, పునః నమోదు, బాహ్య ధృవీకరణ సేవ లేదా పద్ధతి మార్పు. పునరుద్ధరించగల పాస్వర్డ్ల తాత్కాలిక ఎగుమతి ఆ జాబితాలో లేదు. ఇది ప్రాజెక్ట్ అత్యంత అస్తవ్యస్తమైన వారంలో సాదా పాఠ్య క్రెడెన్షియల్ నిల్వను సృష్టిస్తుంది, సాధారణంగా స్థానభ్రంశం తర్వాత కూడా నిలిచి ఉంటుంది.
పైలట్ బృందం, తర్వాత జీవిత చక్ర మార్పులు
ఆమోదించిన గుర్తింపుల చిన్న బృందాన్ని నిజమైన క్లయింట్తో తరలించి, నాలుగు విషయాలు పరీక్షించండి: కొత్త లాగిన్, ఉద్దేశపూర్వకంగా తప్పు క్రెడెన్షియల్, సెషన్ చేరుకోగల వనరులు, చేరుకోకూడని వనరులు. క్లయింట్ అంగీకరించిన సర్వర్ గుర్తింపును కూడా తనిఖీ చేయండి, ఎందుకంటే సర్టిఫికేట్ పేరు అసమానత ఎవరైనా క్లయింట్ లాగ్ చదివే వరకు కనిపించదు.
తర్వాత అమలు నిజంగా ఆధారపడే మార్పులను పరీక్షించండి. పాస్వర్డ్ మార్చండి, సర్టిఫికేట్ను పునరుద్ధరించండి లేదా మళ్లీ నమోదు చేయండి, ఒక పైలట్ ఖాతా నుండి ప్రాప్యతను తొలగించండి. ప్రతి దాని తర్వాత ఏ ధృవీకర్త ప్రయత్నాన్ని నిర్వహించారో నిర్ధారించండి, ఎందుకంటే కట్ ఓవర్కు ముందు సృష్టించిన సెషన్ పని కొనసాగించవచ్చు, తదుపరి లాగిన్ గురించి ఏమీ నిరూపించదు.
ప్రొఫైల్ పంపిణీని గుర్తింపు మార్పు నుండి వేరు చేయండి. ప్రతి బృందానికి దాని ఉద్దేశిత ప్రొఫైల్, క్రెడెన్షియల్ లేదా నమోదు స్థితి, ఉపయోగించాల్సిన ప్రామాణీకరణ సేవ, మద్దతు సంప్రదింపు అవసరం, ఈ రికార్డులలో ఏదీ రహస్యాన్ని కలిగి ఉండకూడదు.
పాత మరియు కొత్త మార్గాలు కలిసి ఉంటే, వాటిని ముగింపు తేదీతో పరిమితం చేయండి. స్వయంచాలక తిరోగమనం కొత్త యజమాని ప్రాప్యతను తొలగించిన తర్వాత ఖాతాను పాత క్రెడెన్షియల్తో లోపలికి అనుమతించవచ్చు, ఇది లభ్యత ముసుగులో భద్రతా తిరోగమనం.
తిరోగమనం క్రెడెన్షియల్ను పునరుద్ధరించలేదు
కట్ ఓవర్ను తిప్పికొట్టడం డైరెక్టరీని ఇప్పుడు ఉన్న స్థితిలోనే వదిలిస్తుంది. రీసెట్ చేసిన పాస్వర్డ్ రీసెట్ అయినట్లే ఉంటుంది, రద్దు చేసిన సర్టిఫికేట్ రద్దు అయినట్లే ఉంటుంది, మార్చిన క్రెడెన్షియల్ ఆకృతి మార్చినట్లే ఉంటుంది. ఇవి డైరెక్టరీలోని సంఘటనలు, గేట్వే ఎప్పుడూ వాటి మూలం కాదు. పునరుద్ధరణ ప్రతి సంఘటనకు నిర్వచించాలి, దీనిలో ఏదీ సరిపోని హాష్ నుండి రహస్యాన్ని పునర్నిర్మించడంపై ఆధారపడకూడదు.
తరలించబడుతున్న కనెక్షన్ను ఉపయోగించని పరిపాలనా మార్గాన్ని ఉంచండి. కొత్త ప్రామాణీకరణ విఫలమైనప్పుడు బృందాన్ని ఆపి, గడువు పాటించడానికి అందరికీ ప్రామాణీకరణను బలహీనపరచడం బదులు దాని నమోదిత పునరుద్ధరణ మార్గాన్ని ఉపయోగించండి.
బృందాలు కవర్ అయిన తర్వాత పాత బ్యాకెండ్ క్రెడెన్షియల్స్, ప్రొఫైల్స్, విశ్వాస సంబంధాలను వాటి యజమానుల ద్వారా ఉపసంహరించండి. పాత మార్గం ఇక వినియోగదారులను లోపలికి అనుమతించదని నిర్ధారించి, మద్దతుకు ఇంకా అవసరమైన రహస్యరహిత గుర్తింపు-నుండి-విధాన మ్యాపింగ్ను ఉంచండి. స్థానభ్రంశం కొత్త జీవిత చక్రం పని చేసి ఎవరూ పాత మార్గం ద్వారా లోపలికి రాలేనప్పుడు పూర్తవుతుంది, ఖాతాల జాబితా పూర్తిగా కనిపించినప్పుడు కాదు.