ลงทะเบียนผู้ใช้ VPN: หาเจ้าของตัวตนก่อน

มีคนขอเข้าถึง VPN และปฏิกิริยาแรกคือรัน adduser บนเซิร์ฟเวอร์ ปฏิกิริยานั้นถูกต้องเฉพาะในกลุ่มการติดตั้งจำนวนจำกัด ก่อนจะสร้างอะไร เปิดการกำหนดค่าของเซิร์ฟเวอร์และหาว่าผลิตภัณฑ์ใดทำงานอยู่ที่นั่นและตรวจสอบข้อมูลรับรองที่ใด เพราะบัญชีอาจอยู่ในฐานข้อมูลของผลิตภัณฑ์ ผู้ให้บริการตัวตน หรือสแต็กการรับรองความถูกต้องของโฮสต์เอง การสร้างบัญชีผิดประเภททำให้คนนั้นมีล็อกอินที่ใช้ได้แต่ไม่มีอุโมงค์

โปรไฟล์ไคลเอนต์ที่ระบุ OpenVPN อธิบายโปรโตคอล ไม่ใช่ระบบตัวตนเบื้องหลัง

เริ่มจากเซิร์ฟเวอร์ ไม่ใช่ adduser

ระบุผลิตภัณฑ์ก่อน Community OpenVPN คือเดมอนบวกการรับรองความถูกต้องใดก็ตามที่คุณเชื่อมต่อไว้ ส่วน Access Server คือผลิตภัณฑ์ที่มีชั้นผู้ใช้ของตัวเอง ขอการกำหนดค่า ชื่อยูนิต และรายการแพ็กเกจ แล้วตรวจสอบว่ามีเว็บอินเทอร์เฟซสำหรับจัดการผู้ใช้หรือไม่ จากนั้นดูว่าโปรไฟล์ที่ติดตั้งคาดหวังให้ไคลเอนต์พิสูจน์ตัวตนอย่างไร: ใบรับรอง ชื่อผู้ใช้และรหัสผ่าน หรือทั้งสองอย่าง คำตอบนั้นระบุระบบที่เป็นเจ้าของบัญชี

หลังจากนั้นคำว่าการสร้างผู้ใช้จึงมีความหมาย ในการติดตั้งที่ใช้ใบรับรองเท่านั้น หมายถึงการออกตัวตนของอุปกรณ์ผ่านกระบวนการที่ได้รับอนุมัติ และการล็อกอิน Unix ไม่เปลี่ยนอะไร ในการติดตั้งที่ใช้รหัสผ่าน หมายถึงแบ็กเอนด์ที่ตรวจสอบรหัสผ่านจริง

สี่แบ็กเอนด์ สี่ที่สำหรับสร้างบัญชี

การรับรองความถูกต้องภายในของ Access Server เก็บบัญชีไว้ในฐานข้อมูลของตัวเอง อินเทอร์เฟซสำหรับสร้างจึงเป็นของผลิตภัณฑ์ ไม่ใช่ของโฮสต์ PAM มอบการตรวจสอบให้สแต็กของระบบปฏิบัติการ จึงเป็นเหตุให้บัญชี Unix ภายในสามารถเป็นส่วนหนึ่งของการลงทะเบียนเมื่อบริการเลือกสแต็กนั้น LDAP, RADIUS และ SAML ย้ายการตรวจสอบไปยังบริการภายนอก ที่ซึ่งการจัดเตรียม นโยบายรหัสผ่าน และ MFA อยู่ Access Server ยังคงเก็บใบรับรองและสิทธิ์รายผู้ใช้ได้ในทั้งสี่กรณี และนั่นคือสิ่งที่ทำให้การแยกนั้นสับสน

ตรวจสอบวิธีที่มีผลกับผู้ใช้รายนี้โดยเฉพาะ ไม่ใช่ค่าเริ่มต้นทั่วโลก Access Server 2.10 และใหม่กว่าสามารถใช้วิธีการรับรองความถูกต้องต่างกันตามกลุ่มหรือผู้ใช้ ค่าเริ่มต้นที่เป็นภายในจึงไม่ได้พิสูจน์ว่าบัญชีตรงหน้าคุณถูกตรวจสอบภายใน

สิทธิ์เป็นการตัดสินใจแยกต่างหาก

การรับรองความถูกต้องตอบว่าใครคือบุคคลนั้น สิทธิ์ตอบว่าเขาเข้าถึงอะไรได้ แยกเป็นสองขั้น เพราะการล็อกอินสำเร็จไม่ใช่การให้สิทธิ์ กำหนดเส้นทางที่ต้องการ สิทธิ์ของทรัพยากร และสิทธิ์การดูแลระบบอย่างตั้งใจ และยืนยันว่าการเข้าถึงที่ไม่เกี่ยวข้องยังถูกปฏิเสธ เมื่อการติดตั้งรองรับตัวตนรายบุคคล ให้ออกหนึ่งรายต่อคนแทนการส่งต่อโปรไฟล์ของคนอื่น เพราะโปรไฟล์ที่ใช้ร่วมกันไม่สามารถเพิกถอนสำหรับคนเดียวได้

วัสดุของไคลเอนต์ก็สำคัญ โปรไฟล์ล็อกอินอัตโนมัติและการล็อกอินผู้ใช้แบบโต้ตอบแสดงความสัมพันธ์การรับรองที่ต่างกัน และการสลับอย่างหนึ่งกับอีกอย่างเปลี่ยนสิ่งที่เซิร์ฟเวอร์ตรวจสอบจริง

การเพิกถอนการเข้าถึงเป็นส่วนหนึ่งของการลงทะเบียน

จดเจ้าของสามรายขณะสร้างผู้ใช้: ใครตรวจสอบบัญชี ใครอนุญาตการเข้าถึง VPN และอุปกรณ์หรือโปรไฟล์ใดแทนการเชื่อมต่อ สิ่งเหล่านี้อาจเป็นสามระบบที่ต่างกัน และแผนเพิกถอนที่ระบุเพียงหนึ่งในนั้นก็ยังเปิดทางไว้ เมื่อคนนั้นจากไป ให้ถอดสิทธิ์จากเจ้าของและเพิกถอนข้อมูลรับรองทุกชิ้นที่ออกให้ที่เจ้าของ การลบไฟล์ที่ดาวน์โหลดไม่ใช่การเพิกถอน และการลบรายการภายในก็ไม่ใช่เช่นกันหากตัวตนภายนอกยังรับรองความถูกต้องอยู่

จากนั้นทดสอบการลงทะเบียนเหมือนที่ผู้โจมตีจะทำ: เชื่อมต่อหนึ่งครั้งด้วยตัวตนใหม่ ยืนยันการเข้าถึงทรัพยากรที่ต้องการ และยืนยันว่าทรัพยากรที่ไม่เกี่ยวข้องยังปฏิเสธ การเชื่อมต่อครั้งแรกที่ใช้ได้บวกกับการทดสอบเชิงลบคือการลงทะเบียนที่สมบูรณ์

เก็บบันทึกไว้กับโปรไฟล์ที่เป็นเจ้าของ ผู้ตรวจสอบคนถัดไปจะถามว่าใครเชื่อมต่อได้ในเดือนหนึ่งๆ และคำตอบอยู่ในเจ้าของสามรายนั้น