Ilipat ang backend ng pagpapatotoo ng VPN nang hindi ginagamit muli ang lumang hash

Lumilitaw ang mga username sa bagong direktoryo, idineklarang tapos ang migrasyon, at nabibigo pa rin ang mga pag-login. Kailangan pa rin ng gateway ang sinusuportahang landas ng pagpapatotoo at tamang resulta ng awtorisasyon, at wala sa dalawa ang nagmumula sa direktoryo na may mga account na ngayon. Ang paglipat ng backend ay isang pagputol na may life cycle, hindi trabahong pagkopya. Ang sintomas sa ibaba ang karaniwang naglalantad ng pagkakaiba.

Ang sintomas: may mga account, wala ang mga session

Nasa bagong direktoryo ang bawat username, nagtatagumpay ang test bind, at nagbabalik pa rin ng kabiguan sa pagpapatotoo ang VPN client. Ang kombinasyong iyon ay nangangahulugang umiiral ang pagkakakilanlan, ngunit ang landas ng beripikasyon na ginagamit ng gateway ay hindi ito naaabot, o naaabot ito sa paraang hindi nito matutugunan. Pareho silang configuration, at magkaibang problema.

Ang una ay mga kable: tumuturo ang gateway sa backend na hindi sumasagot, gumagamit ng shared secret na hindi inaasahan ng kabilang panig, o humihingi ng attribute na hindi ibinabalik ng bagong serbisyo. Ang pangalawa ay cryptographic: kailangan ng pamamaraan ang orihinal na secret, at ang bagong imbakan ay may hash lamang nito. Magkamukha ang teksto ng error sa dalawang kaso, kaya itinuturing silang isang problema.

Ang paghihiwalay sa dalawang ito bago hawakan ang mga account ay nakakatipid ng isang linggo. Ang isa ay tanong ng routing at tiwala, ang isa ay desisyon tungkol sa pag-reset ng kredensyal, at ang paghahalo nila ay lumilikha ng mga pagbabagong walang makapag-uugnay.

Imapa ang kadena bago ilipat ang sinuman

Isulat ang anim na bagay para sa bawat profile ng client: ang panlabas na paraan ng pagpapatotoo, anumang panloob na paraan, ang identidad ng server na inaasahan ng client, ang interface sa pagitan ng gateway at backend, ang attribute na iminamapa ng gateway sa pagiging miyembro ng grupo, at ang resultang patakaran sa resources. Ang pagbasa sa kanila nang sunod-sunod ay nagpapakita kung aling kawing ang walang may-ari. Bawat item ay may responsable, at nabibigo ang pagputol sa item na walang nagsuri.

Ang ordinaryong pag-login sa direktoryo ay halos walang nadaanan sa kadenang iyon. Pinatutunayan nitong umiiral ang account at gumagana ang password, na siyang bahaging hindi kailanman pinag-isipan.

Hindi naglalakbay ang mga hash sa pagitan ng mga pamamaraan

Ang pagiging tugma ng kredensyal ay dapat suriin nang isang beses, bago lumipat ang anumang pangkat. Malinaw na idinodokumento ng FreeRADIUS ang paghahati: ang pagsusuring CHAP na ginagawa ng server mismo ay nangangailangan ng aktwal na password, at tinatanggap ng MS-CHAP ang password na iyon o angkop na NT material. Ang hash na ginawa para sa ibang layunin ay hindi umaangkop sa alinman sa dalawa, gaano man ito kalakas.

Ang pagkakaiba ay nasa kung sino ang nagkalkula ng patunay. Ang pamamaraang nagbeberipika sa pamamagitan ng pagbigkis sa direktoryo ay hinahayaang suriin ng direktoryo ang kaya nitong suriin. Ang pamamaraang nagbeberipika sa pamamagitan ng muling pagkalkula ng tugon sa hamon ay kailangan ang secret mismo, dahil kailangang gawin ng server ang parehong kalkulasyon.

Kung saan kulang ang materyal, ang tapat na pagpipilian ay sinusuportahang reset, muling pagpapatala, panlabas na serbisyo ng beripikasyon o pagpapalit ng pamamaraan. Ang pansamantalang pag-export ng mga nakukuhang password ay wala sa listahang iyon. Lumilikha ito ng imbakan ng kredensyal sa plain text sa pinaka-magulong linggo ng proyekto, at kadalasan ay nakakalampas pa sa migrasyon.

Pilotong pangkat, pagkatapos ang mga pagbabago sa life cycle

Ilipat ang maliit na pangkat ng aprubadong pagkakakilanlan gamit ang tunay na client, at subukan ang apat na bagay: bagong login, sadyang maling kredensyal, ang mga resource na maaabot ng session, at ang mga resource na hindi dapat maabot. Suriin din ang identidad ng server na tinanggap ng client, dahil ang hindi pagtutugma ng pangalan ng sertipiko ay hindi nakikita hanggang may magbasa ng log ng client.

Pagkatapos ay sanayin ang mga pagbabagong talagang pinagbabatayan ng deployment. Palitan ang password, i-renew o muling ipatala ang sertipiko, at alisin ang access sa isang pilot account. Pagkatapos ng bawat isa, tiyakin kung aling verifier ang humawak sa pagtatangka, dahil ang session na ginawa bago ang pagputol ay maaaring magpatuloy at walang pinatutunayan tungkol sa susunod na login.

Ihiwalay ang paghahatid ng profile sa pagpapalit ng pagkakakilanlan. Kailangan ng bawat pangkat ang inilaan nitong profile, ang estado ng kredensyal o pagpapatala nito, ang serbisyong pagpapatotoo na dapat gamitin at isang contact ng suporta, at wala sa mga rekord na iyon ang dapat maglaman ng secret.

Kung magkasabay ang luma at bagong landas, lagyan sila ng petsa ng pagtatapos. Ang awtomatikong pag-urong ay maaaring magpapasok ng account gamit ang lumang kredensyal matapos alisin ng bagong may-ari ang access, at iyon ay pag-urong sa seguridad na nagbabalatkayo bilang availability.

Hindi maibabalik ng rollback ang kredensyal

Ang pagbaligtad ng pagputol ay iniiwan ang direktoryo nang eksakto sa kalagayan nito ngayon. Nananatiling naka-reset ang na-reset na password, nananatiling binawi ang binawing sertipiko, at nananatiling nabago ang binagong format ng kredensyal. Mga pangyayari iyon sa direktoryo, at hindi kailanman naging pinagmulan ang gateway. Dapat tukuyin ang pagbawi sa bawat pangyayari, at wala sa mga iyon ang maaaring umasa sa muling pagbuo ng secret mula sa hindi tugmang hash.

Panatilihin ang administratibong landas na hindi gumagamit ng koneksyong inililipat. Kapag nabigo ang bagong pagpapatotoo, ihinto ang pangkat at gamitin ang nakadokumentong landas ng pagbawi nito, sa halip na pahinain ang pagpapatotoo para sa lahat upang matugunan ang deadline.

Kapag nasakop na ang mga pangkat, i-retire ang lumang kredensyal, profile at relasyon ng tiwala ng backend sa pamamagitan ng mga may-ari nito. Tiyakin na hindi na nagpapapasok ng user ang lumang landas, at panatilihin ang pagmamapa ng pagkakakilanlan sa patakaran na walang secret na kailangan pa ng suporta. Tapos ang migrasyon kapag gumagana ang bagong life cycle at wala nang nakakapasok sa lumang landas, hindi kapag mukhang kumpleto ang listahan ng account.