సేవా ఖాతా కోసం VPN ప్రవేశం: ధృవపత్రం లేదా భాగస్వామ్య లాగిన్
పర్యవేక్షణ లేని VPN ప్రవేశం కోసం మెషిన్ ధృవపత్రాన్ని నిల్వ చేసిన సంకేతపదంతో పోల్చి, నిజమైన అనుమతి పరిమితిని లాగిన్ తర్వాత నడిచే విధానంలో ఉంచండి.
పర్యవేక్షణ లేని దాదాపు ప్రతి VPN సెటప్‌ను రెండు నమూనాలు కవర్ చేస్తాయి: స్క్రిప్ట్‌లో ఉంచిన భాగస్వామ్య మానవ లాగిన్, లేదా హోస్ట్‌కు బంధించిన మెషిన్ ధృవపత్రం. అవి వేర్వేరు చోట్ల విఫలమవుతాయి, అది సెటప్ వేగం కంటే ముఖ్యం. నిల్వ చేసిన సంకేతపదం దాని యజమాని మార్చినప్పుడు లేదా వెళ్ళిపోయినప్పుడు విరిగిపోతుంది; ధృవపత్రం గడువు ముగిసినప్పుడు లేదా కీ లేకుండా హోస్ట్ తిరిగి నిర్మించబడినప్పుడు విరిగిపోతుంది. ఏ ఖర్చును మోయగలరో మూడు షరతులు నిర్ణయిస్తాయి, మరియు అనుమతి విధానం చేసే వరకు ఏ నమూనా ఏదీ పరిమితం చేయదు.
ఖాతా నుండి కాదు, పని నుండి ప్రారంభించండి
పని హద్దును నిర్వచిస్తుంది: ఏ గమ్యాలు, ఏ సేవలు, ఏ గంటలు, సెషన్ ఎంత కాలం నడవగలదు. టన్నెల్ మార్గం ఆ హద్దులో సగం మాత్రమే. సెషన్ అనుమతించబడిందా అని గేట్‌వే నిర్ణయిస్తుంది; దాని వెనుక ఉన్న వనరు సెషన్ ఏమి చేయగలదో నిర్ణయిస్తుంది. పేరు పెట్టిన యజమానితో జాబితాను ముందుగా రాయండి, ఎందుకంటే రెండు గుర్తింపు నమూనాలు దానిని తీర్చాలి.
రాస్తున్నప్పుడు ప్రామాణీకరణను మరియు అనుమతిని వేరుగా ఉంచండి. ప్రామాణీకరణ ఎవరు కనెక్ట్ అవుతున్నారో సమాధానం ఇస్తుంది; అనుమతి తర్వాత సెషన్ ఎక్కడికి చేరగలదో సమాధానం ఇస్తుంది. RADIUS రెండవ భాగాన్ని Filter-Id, Framed-IP-Address, Session-Timeout మరియు Class వంటి లక్షణాలుగా మోసుకెళ్తుంది, లాగిన్ విజయవంతమైనప్పుడు గేట్‌వే వాటిని జోడిస్తుంది. లాగిన్‌ను మార్చి అనుమతిని అలాగే వదిలే నమూనా ఏదీ పరిమితం చేయలేదు.
భాగస్వామ్య మానవ లాగిన్: సంకేతపదమే హద్దు అవుతుంది
మానవ ఖాతాను తిరిగి ఉపయోగించడం వేగవంతమైన మార్గం మరియు అత్యంత దెబ్బతినే మార్గం. ఆధారాలు సంకేతపదం, కాబట్టి అది స్క్రిప్ట్, పర్యావరణ ఫైల్ మరియు షెడ్యూలర్ కాన్ఫిగరేషన్‌లో ముగుస్తుంది, ప్రతి కాపీకి భ్రమణం అవసరం. యజమాని శుక్రవారం దాన్ని మార్చినప్పుడు, తదుపరి అమలులో పని విఫలమవుతుంది మరియు ఎవరూ చూడరు.
MFA ఈ నమూనా సాధారణంగా కుప్పకూలే చోటు. స్క్రిప్ట్ పుష్ అభ్యర్థనకు సమాధానం ఇవ్వలేదు, కాబట్టి ఖాతా విధానం నుండి మినహాయించబడుతుంది, అది దాడికి పాల్పడేవాడు ఎంచుకునే ఖాతా. మినహాయింపులు, విశ్వసనీయ స్థాన బైపాస్‌లు మరియు ఖాతా వారీగా మినహాయింపులు గుణించబడతాయి, వాటిలో ఏదీ తదుపరి చదివే వ్యక్తికి కనిపించదు.
ఆపాదన మరో ఖర్చు. గేట్‌వే లాగ్‌లో ప్రతి సెషన్ అదే వినియోగదారు పేరును మోస్తుంది, కాబట్టి రాత్రి సమకాలీకరణను దాన్ని రాసిన వ్యక్తి పని నుండి వేరు చేయలేము, మరియు పనిని రద్దు చేయడం అంటే ఆ వ్యక్తిని రద్దు చేయడం.
మెషిన్ ధృవపత్రం: గుర్తింపు హోస్ట్‌కు బంధించబడింది
ధృవపత్రం ప్రశ్నను ఖాతాకు తెలిసిన దాని నుండి హోస్ట్ ఏమిటి అనేదానికి మారుస్తుంది. EAP-TLS లో క్లయింట్ ధృవపత్రాన్ని చూపి సరిపోయే ప్రైవేట్ కీని కలిగి ఉన్నట్లు నిరూపిస్తుంది; విధాన సర్వర్ విషయాన్ని లేదా కంప్యూటర్ ఖాతాను ఒక సమూహానికి మ్యాప్ చేసి ఆ సమూహానికి విధానాన్ని వర్తింపజేస్తుంది. ప్రాంప్ట్ లేదు, టెక్స్ట్ ఫైల్‌లో కూర్చున్న భాగస్వామ్య రహస్యం లేదు.
అది సృష్టించే హద్దు ప్రజలు ఊహించిన దానికంటే ఇరుకైనది. ధృవపత్రం హోస్ట్‌ను ప్రామాణీకరిస్తుంది, పనిని కాదు, root లేదా స్థానిక నిర్వాహక హక్కులు ఉన్న ఎవరైనా ఆ హోస్ట్‌లో ఆ కీని ఉపయోగించగలరు. కీని ప్లాట్‌ఫారం రక్షించే చోట ఉంచండి: Windows ధృవపత్రాల నిల్వలో ఎగుమతి చేయలేనిదిగా, ప్రొఫైల్ అనుమతించే చోట TPM మద్దతుతో, లేదా Linux లో root స్వంతమైన 0600 ఫైల్‌గా. హోస్ట్ రాజీ అంటే ఆధారాల రాజీ.
గడువు ముగియడం పునరావృత వైఫల్యం. ఆదివారం గడువు ముగిసే ధృవపత్రం ఆదివారం పనిని ఆపుతుంది, గేట్‌వే సాధారణంగా తేదీని పేర్కొనకుండా సాధారణ ప్రామాణీకరణ లోపాన్ని నివేదిస్తుంది. రన్‌బుక్‌లో భాగంగా పని హోస్ట్ నుండి తేదీలను తనిఖీ చేయండి:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsరద్దుకు గేట్‌వే తనిఖీ చేసే మార్గం కావాలి. OpenVPN crl-verify ఎంపిక ద్వారా CRL చదువుతుంది, strongSwan కనెక్షన్ ప్రొఫైల్ ఎలా నిర్మించబడిందో దాన్ని బట్టి CRL లేదా OCSP పై ఆధారపడుతుంది. రెండూ కనెక్ట్ చేయకపోతే, హోస్ట్‌ను తీసివేయడం అంటే ధృవపత్రం గడువు ముగియడం కోసం వేచి ఉండటం.
వాటి మధ్య నిర్ణయించే మూడు షరతులు
మీ దగ్గర ఉన్న ప్లాట్‌ఫారంతో పోల్చండి, సూచన నమూనాతో కాదు.
మొదటి షరతు: గేట్‌వే మెషిన్ గుర్తింపుకు అనుమతి ఇవ్వగలదా? అది RADIUS వినియోగదారు పేరును డైరెక్టరీ వినియోగదారుకు మాత్రమే మ్యాప్ చేస్తే, ధృవపత్రం హోస్ట్‌ను ప్రామాణీకరించి తర్వాత అనుమతి వద్ద నిలిచిపోతుంది. రెండవ షరతు: పనికి వినియోగదారు ఖాతా మాత్రమే మోసే వనరు ప్రవేశం కావాలా, మ్యాప్ చేసిన షేర్ లేదా సీటుకు లైసెన్స్ వంటిది? అప్పుడు మెషిన్ గుర్తింపు భర్తీ చేయలేదు, నిజాయితీ సమాధానం పరిమిత విధానంతో ప్రత్యేక వినియోగదారు ఖాతా. మూడవ షరతు: వ్యక్తి లేకుండా ఆధారాలను ఎవరు భ్రమణం చేయగలరు? స్వయంచాలక నమోదు ధృవపత్రాలను ఉంచడం చవకగా చేస్తుంది; ఒక వ్యక్తికి తెలిసిన సంకేతపదం అలా చేయదు.
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
పట్టికను ఖర్చుల జాబితాగా చదవండి, ర్యాంకింగ్‌గా కాదు. నిల్వ చేసిన రహస్య కాలమ్ రద్దు వేగంలో మరియు వినియోగదారు ఖాతాలను మాత్రమే అర్థం చేసుకునే వనరులతో అనుకూలతలో గెలుస్తుంది; ధృవపత్రం కాలమ్ భ్రమణంలో మరియు స్క్రిప్ట్ పనిచేయడానికి MFA ను బలహీనపరచకపోవడంలో గెలుస్తుంది.
పరిమితిని విధానంలో ఉంచండి, ప్రామాణీకరణ తర్వాత
మీరు ఏ గుర్తింపును ఎంచుకున్నా, అనుమతి పరిమితి ప్రామాణీకరణ తర్వాత నడిచే విధానానికే చెందుతుంది. NPS లో నెట్‌వర్క్ విధానాలు వరుసగా అంచనా వేయబడతాయి మరియు ప్రతి షరతుకు సరిపోయే మొదటి విధానం తన సెట్టింగ్‌లను వర్తింపజేస్తుంది, కాబట్టి ఇరుకైన దానిపై ఉంచిన విశాలమైన విధానం క్లయింట్ ఏమి చూపినా ఫలితాన్ని నిర్ణయిస్తుంది. Microsoft షరతులు మరియు సెట్టింగ్‌ల నమూనాను తన NPS విధాన అవలోకనంలో నిర్దేశిస్తుంది.
పనికి దాని స్వంత సమూహం లేదా విధాన షరతు ఇవ్వండి, మెషిన్ గుర్తింపు మోసే దానిపై ఆధారపడి: ధృవపత్ర టెంప్లేట్, పిలిచే స్టేషన్ గుర్తింపు, లేదా ప్రత్యేక పూల్ నుండి చిరునామా. తర్వాత సెషన్‌ను లక్షణాలతో బంధించండి: మీ గేట్‌వే దాన్ని మ్యాప్ చేసే పాత్రకు Filter-Id, చిక్కుకున్న పని రోజుల పాటు సెషన్ ఉంచకుండా తిరిగి ప్రామాణీకరించే చిన్న Session-Timeout, మరియు మీరు ఆవలి వైపు ఫైర్‌వాల్ చేసే పూల్ నుండి Framed-IP-Address. అప్లికేషన్ అనుమతి వేరుగా ఉంటుంది: డేటాబేస్ సర్వర్‌కు టన్నెల్ దానిలోని పట్టికను చదవడానికి అనుమతి కాదు.
నిరాకరణలను ధృవీకరించండి, తర్వాత తొలగింపును ప్రణాళిక చేయండి
పనిచేసే ప్రవేశం కనిష్ఠ హక్కుల గురించి ఏమీ నిరూపించదు. బదులుగా నిరాకరణలను పరీక్షించండి: పని గుర్తింపుతో కనెక్ట్ అయి జాబితా వెలుపలి గమ్యాన్ని చేరుకోండి, గేట్‌వే ఒకటే అనుమతించాల్సి ఉంటే రెండవ ఏకకాల సెషన్ తెరవండి, మరియు ఆధారాలను రద్దు చేసిన తర్వాత లాగిన్‌ను పునరావృతం చేయండి.
తర్వాత అదే సెషన్‌ను రెండు చోట్ల ధృవీకరించండి. గేట్‌వే లాగ్ ప్రామాణీకరించిన గుర్తింపును చూపుతుంది; విధాన సర్వర్ లాగ్ ఏ విధానం సరిపోయిందో మరియు ఏ లక్షణాలు తిరిగి ఇచ్చిందో చూపుతుంది. OpenVPN లో సర్వర్ ధృవపత్రం సాధారణ పేరును నమోదు చేస్తుంది, strongSwan లో ipsec statusall ఉపయోగంలో ఉన్న గుర్తింపుతో ఏర్పాటైన టన్నెల్‌ను ముద్రిస్తుంది. గుర్తింపు గురించి రెండు లాగ్‌లు ఏకీభవించకపోతే, విధానం మీరు ఊహించినదానికంటే వేరే దానికి సరిపోతోంది.
తొలగింపు నమూనాలో భాగం, శుభ్రతా దశ కాదు. తొలగించాల్సిన ప్రతిదాన్ని రాయండి (ధృవపత్రం లేదా ఖాతా, సమూహ సభ్యత్వం, నెట్‌వర్క్ విధానం, పూల్ నమోదు, లక్ష్యంపై ఫైర్‌వాల్ నియమం) మరియు పనిని తిరిగి నిర్మించడం సులభంగా ఉన్నప్పుడు ఒకసారి నడపండి.
మీరు ఈరోజు ప్రారంభిస్తే, ఈ క్రమంలో పని చేయండి: వనరుల జాబితా రాయండి, మూడు షరతులతో గుర్తింపును ఎంచుకోండి, పరిమితిని విధానంలో ఉంచండి, మరియు పని ప్రారంభమయ్యే ముందు ఒక నిరాకరణను సాధన చేయండి.