VPN kimlik doğrulama arka ucunu eski karmaları yeniden kullanmadan taşımak

Kullanıcı adları yeni dizinde görünür, geçiş tamamlandı ilan edilir ve oturum açmalar yine de başarısız olur. Ağ geçidinin hâlâ desteklenen bir kimlik doğrulama yoluna ve doğru bir yetkilendirme sonucuna ihtiyacı vardır ve ikisi de artık hesapları içeren bir dizinden çıkmaz. Arka uç taşıması, yaşam döngüsü olan bir geçiştir, kopyalama işi değil. Aşağıdaki belirti, farkı genellikle ortaya çıkaran belirtidir.

Belirti: hesaplar var, oturumlar yok

Yeni dizin her kullanıcı adını içerir, bir test bağlaması başarılı olur ve VPN istemcisi yine de bir kimlik doğrulama hatası döndürür. Bu birleşim, kimliğin var olduğunu ancak ağ geçidinin kullandığı doğrulama yolunun ona ulaşmadığını veya onu karşılayamayacağı bir yöntemle ulaştığını gösterir. Her ikisi de yapılandırmadır ve farklı sorunlardır.

Birincisi tesisat: ağ geçidi yanıt vermeyen bir arka uca işaret eder, diğer tarafın beklemediği bir paylaşılan sır kullanır veya yeni hizmetin döndürmediği bir öznitelik ister. İkincisi kriptografiktir: yöntem özgün sırrı gerektirir ve yeni depo yalnızca onun karmasını tutar. Hata metni her iki durumda da benzer görünür, bu yüzden ikisi tek bir sorun olarak ele alınır.

Bu ikisini hesaplara dokunmadan ayırmak bir hafta kazandırır. Biri yönlendirme ve güven sorunudur, diğeri kimlik bilgilerini sıfırlama kararıdır ve ikisini karıştırmak kimsenin atfedemeyeceği değişiklikler üretir.

Kimseyi taşımadan önce zinciri haritalayın

Her istemci profili için altı şey yazın: dış kimlik doğrulama yöntemi, varsa iç yöntem, istemcinin beklediği sunucu kimliği, ağ geçidi ile arka uç arasındaki arayüz, ağ geçidinin grup üyeliğine eşlediği öznitelik ve bundan doğan kaynak ilkesi. Bunları sırayla okumak hangi halkanın sahibi olmadığını gösterir. Her öğenin bir sahibi vardır ve geçiş, kimsenin denetlemediği öğede başarısız olur.

Sıradan bir dizin oturum açması bu zincirin neredeyse hiçbirinden geçmez. Hesabın var olduğunu ve parolanın çalıştığını kanıtlar; bu da hiçbir zaman kuşku konusu olmayan kısımdır.

Karmalar yöntemler arasında seyahat etmez

Kimlik bilgisi uyumluluğu, herhangi bir grup hareket etmeden önce bir kez denetlenmelidir. FreeRADIUS ayrımı açıkça belgeler: sunucunun kendisinin yaptığı bir CHAP denetimi gerçek parolayı gerektirir ve MS-CHAP bu parolayı veya uygun NT materyalini kabul eder. Başka bir amaç için üretilmiş bir karma, ne kadar güçlü olursa olsun iki duruma da uymaz.

Ayrım, kanıtı kimin hesapladığındadır. Dizine bağlanarak doğrulayan bir yöntem, dizinin denetleyebildiğini denetlemesine izin verir. Bir meydan okuma yanıtını yeniden hesaplayarak doğrulayan bir yöntem, sırrın kendisine ihtiyaç duyar çünkü sunucu aynı hesaplamayı yapmak zorundadır.

Materyalin eksik olduğu yerde dürüst seçenekler desteklenen bir sıfırlama, yeniden kayıt, harici bir doğrulama hizmeti veya yöntem değişikliğidir. Kurtarılabilir parolaların geçici olarak dışa aktarılması bu listede değildir. Projenin en kaotik haftasında düz metin bir kimlik bilgisi deposu oluşturur ve genellikle geçişi atlatır.

Pilot grup, ardından yaşam döngüsü değişiklikleri

Onaylanmış kimliklerden küçük bir grubu gerçek istemciyle taşıyın ve dört şeyi test edin: taze bir oturum açma, kasıtlı olarak yanlış kimlik bilgisi, oturumun erişebileceği kaynaklar ve erişememesi gereken kaynaklar. İstemcinin kabul ettiği sunucu kimliğini de denetleyin, çünkü bir sertifika adı uyuşmazlığı, biri istemci günlüğünü okuyana kadar görünmez.

Sonra dağıtımın gerçekten bağlı olduğu değişiklikleri deneyin. Bir parolayı değiştirin, bir sertifikayı yenileyin veya yeniden kaydedin ve bir pilot hesaptan erişimi kaldırın. Her birinden sonra denemeyi hangi doğrulayıcının işlediğini doğrulayın, çünkü geçişten önce oluşturulmuş bir oturum çalışmaya devam edebilir ve bir sonraki oturum açma hakkında hiçbir şey kanıtlamaz.

Profil dağıtımını kimlik geçişinden ayırın. Her grubun amaçlanan profiline, kimlik bilgisi veya kayıt durumuna, kullanması gereken kimlik doğrulama hizmetine ve bir destek iletişimine ihtiyacı vardır ve bu kayıtların hiçbiri bir sır içermemelidir.

Eski ve yeni yollar bir arada varsa, bunları bir bitiş tarihiyle sınırlayın. Otomatik bir geri dönüş, yeni sahip erişimi kaldırdıktan sonra bir hesabı eski bir kimlik bilgisiyle içeri alabilir ve bu, kullanılabilirlik kılığına girmiş bir güvenlik gerilemesidir.

Geri alma bir kimlik bilgisini geri getiremez

Geçişi tersine çevirmek dizini tam olarak şu anki durumunda bırakır. Sıfırlanmış bir parola sıfırlanmış kalır, iptal edilmiş bir sertifika iptal edilmiş kalır ve değiştirilmiş bir kimlik bilgisi biçimi değiştirilmiş kalır. Bunlar dizindeki olaylardır ve ağ geçidi hiçbir zaman onların kaynağı olmadı. Kurtarma olay başına tanımlanmalıdır ve bunun hiçbir parçası uyumsuz bir karmadan sır yeniden oluşturmaya bağlı olamaz.

Geçirilen bağlantıyı kullanmayan bir yönetim yolu tutun. Yeni kimlik doğrulama başarısız olduğunda grubu duraklatın ve bir teslim tarihine uymak için kimlik doğrulamayı herkes için zayıflatmak yerine belgelenmiş kurtarma yolunu kullanın.

Gruplar kapsandıktan sonra eski arka uç kimlik bilgilerini, profillerini ve güven ilişkilerini sahipleri aracılığıyla devreden çıkarın. Eski yolun artık kullanıcıları içeri almadığını doğrulayın ve desteğin hâlâ ihtiyaç duyduğu sır içermeyen kimlik-politika eşlemesini koruyun. Bir geçiş, yeni yaşam döngüsü çalıştığında ve artık kimse eski yoldan giremediğinde tamamlanır, hesap listesi eksiksiz göründüğünde değil.