Servis hesabı için VPN erişimi: sertifika mı paylaşılan oturum açma mı
Gözetimsiz VPN erişimi için makine sertifikasını saklanan parolayla karşılaştırın ve gerçek izin sınırını oturum açmadan sonra çalışan politikaya koyun.
Neredeyse her gözetimsiz VPN kurulumunu iki tasarım kapsar: bir betikte tutulan paylaşılan insan oturum açması ya da ana makineye bağlanmış makine sertifikası. Farklı yerlerde bozulurlar ve bu, kurulum hızından daha önemlidir. Saklanan parola sahibi değiştirdiğinde veya ayrıldığında kırılır; sertifika süresi dolduğunda veya ana makine anahtar olmadan yeniden kurulduğunda kırılır. Hangi maliyeti taşıyabileceğinize üç koşul karar verir ve yetkilendirme politikası bunu yapmadıkça hiçbir tasarım hiçbir şeyi sınırlamaz.
Hesaptan değil, görevden başlayın
Görev sınırı tanımlar: hangi hedefler, hangi hizmetler, hangi saatler, bir oturum ne kadar sürebilir. Tünel yolu bu sınırın yalnızca yarısıdır. Ağ geçidi oturumun izinli olup olmadığına karar verir; arkasındaki kaynak oturumun ne yapabileceğine karar verir. Listeyi önce yazın, adı belirtilmiş bir sahibiyle, çünkü her iki kimlik tasarımı da onu karşılamak zorunda.
Yazarken kimlik doğrulamayı ve yetkilendirmeyi ayrı tutun. Kimlik doğrulama kimin bağlandığını yanıtlar; yetkilendirme oturumun sonrasında nereye ulaşabileceğini yanıtlar. RADIUS ikinci kısmı Filter-Id, Framed-IP-Address, Session-Timeout ve Class gibi öznitelikler olarak taşır ve ağ geçidi oturum açma başarılı olunca bunları ekler. Oturum açmayı değiştirip yetkilendirmeyi olduğu gibi bırakan bir tasarım hiçbir şeyi sınırlamamıştır.
Paylaşılan insan oturum açması: parola sınır olur
İnsan hesabını yeniden kullanmak en hızlı yoldur ve en kötü yaşlanandır. Kimlik bilgisi bir paroladır, bu yüzden bir betiğe, bir ortam dosyasına ve bir zamanlayıcı yapılandırmasına girer ve her kopyanın döndürülmesi gerekir. Sahibi onu bir cuma günü değiştirdiğinde, iş bir sonraki çalıştırmada başarısız olur ve kimse bakmıyordur.
MFA bu tasarımın genellikle çöktüğü yerdir. Bir betik push istemine yanıt veremez, bu yüzden hesap politikadan çıkarılır ve bu tam olarak bir saldırganın seçeceği hesaptır. İstisnalar, güvenilir konum atlatmaları ve hesap başına muafiyetler çoğalır ve hiçbiri kiracı ayarlarını okuyan bir sonraki kişi için görünür değildir.
Atıf diğer maliyettir. Ağ geçidi günlüğündeki her oturum aynı kullanıcı adını taşır, bu yüzden gece eşitlemesi onu yazan kişinin işinden ayırt edilemez ve işi iptal etmek o kişiyi iptal etmek anlamına gelir.
Makine sertifikası: kimlik ana makineye bağlı
Bir sertifika soruyu hesabın ne bildiğinden ana makinenin ne olduğuna çevirir. EAP-TLS ile istemci bir sertifika sunar ve eşleşen özel anahtara sahip olduğunu kanıtlar; ilke sunucusu özneyi veya bilgisayar hesabını bir gruba eşler ve o grubun ilkesini uygular. İstem yok, bir metin dosyasında oturan paylaşılan sır yok.
Yarattığı sınır insanların beklediğinden dardır. Bir sertifika ana makineyi doğrular, görevi değil, ve root ya da yerel yönetici haklarına sahip herkes o anahtarı o ana makinede kullanabilir. Anahtarı platformun koruduğu yerde tutun: Windows sertifika deposunda dışa aktarılamaz, profil izin verdiğinde TPM destekli ya da Linux'ta root'a ait 0600 dosya. Ana makinenin ele geçirilmesi kimlik bilgisinin ele geçirilmesidir.
Süre dolması yinelenen arızadır. Bir pazar günü süresi dolan sertifika işi pazar günü durdurur ve ağ geçidi genellikle tarihi adlandırmak yerine genel bir kimlik doğrulama hatası bildirir. Tarihleri iş ana makinesinden runbook'un parçası olarak kontrol edin:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsİptal, ağ geçidinin kontrol ettiği bir yol gerektirir. OpenVPN CRL'yi crl-verify seçeneğiyle okur ve strongSwan bağlantı profilinin nasıl kurulduğuna göre CRL veya OCSP'ye bağlıdır. İkisi de bağlı değilse, bir ana makineyi kaldırmak sertifikanın süresinin dolmasını beklemek anlamına gelir.
Aralarında karar veren üç koşul
Karşılaştırmayı sahip olduğunuz platforma göre yapın, bir referans tasarıma göre değil.
Birinci koşul: ağ geçidi bir makine kimliğini yetkilendirebiliyor mu? Yalnızca bir RADIUS kullanıcı adını dizin kullanıcısına eşliyorsa, sertifika ana makineyi doğrular ve sonra yetkilendirmede tıkanır. İkinci koşul: görev, yalnızca bir kullanıcı hesabının taşıdığı kaynak erişimine ihtiyaç duyuyor mu, örneğin eşlenmiş bir paylaşım veya koltuk başına lisans? O zaman makine kimliği yerini alamaz ve dürüst yanıt, kapsamı belirlenmiş bir ilkeye sahip özel bir kullanıcı hesabıdır. Üçüncü koşul: kimlik bilgisini döngüde bir insan olmadan kim döndürebilir? Otomatik kayıt sertifikaları tutmayı ucuzlatır; tek bir kişinin bildiği parola bunu yapmaz.
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
Tabloyu bir sıralama değil, maliyetler listesi olarak okuyun. Saklanan sır sütunu iptal hızında ve yalnızca kullanıcı hesaplarını anlayan kaynaklarla uyumlulukta kazanır; sertifika sütunu döndürmede ve bir betiğin çalışması için MFA'yı zayıflatmamakta kazanır.
Sınırı politikaya koyun, kimlik doğrulamadan sonra
Hangi kimliği seçerseniz seçin, izin sınırı kimlik doğrulamadan sonra çalışan politikaya aittir. NPS'de ağ ilkeleri sırayla değerlendirilir ve her koşulla eşleşen ilk ilke kendi ayarlarını uygular, bu yüzden dar bir ilkenin üstüne yerleştirilen geniş bir ilke, istemci ne sunarsa sunsun sonucu belirler. Microsoft koşul ve ayar modelini NPS ilke genel bakışında belgeler.
Göreve kendi grubunu veya ilke koşulunu verin, makine kimliğinin taşıdığı bir şeye dayanarak: bir sertifika şablonu, arayan istasyon tanımlayıcısı veya özel bir havuzdan bir adres. Sonra oturumu özniteliklerle sınırlayın: ağ geçidinizin eşlediği rol için bir Filter-Id, takılı kalan bir işin günlerce oturum tutmak yerine yeniden kimlik doğrulaması için kısa bir Session-Timeout ve diğer tarafta güvenlik duvarıyla koruduğunuz bir havuzdan Framed-IP-Address. Uygulama yetkilendirmesi ayrı kalır: bir veritabanı sunucusuna tünel, içindeki bir tabloyu okuma izni değildir.
Retleri doğrulayın, sonra kaldırmayı planlayın
Çalışan erişim en az ayrıcalık hakkında hiçbir şey kanıtlamaz. Bunun yerine retleri test edin: iş kimliğiyle bağlanın ve listenin dışındaki bir hedefe uzanın, ağ geçidi yalnızca birine izin vermeliyse ikinci bir eşzamanlı oturum açın ve kimlik bilgisi iptal edildikten sonra oturum açmayı yineleyin.
Sonra aynı oturumu iki yerde doğrulayın. Ağ geçidi günlüğü kimlik doğrulaması yapan kimliği gösterir; ilke sunucusu günlüğü hangi ilkenin eşleştiğini ve hangi öznitelikleri döndürdüğünü gösterir. OpenVPN'de sunucu sertifikanın ortak adını kaydeder ve strongSwan'da ipsec statusall kurulan tüneli kullanımdaki kimlikle yazdırır. İki günlük kimlik konusunda anlaşmıyorsa, ilke varsaydığınızdan başka bir şeyle eşleşiyordur.
Kaldırma tasarımın parçasıdır, temizlik koşusunun değil. Silinecek her şeyi yazın (sertifika veya hesap, grup üyeliği, ağ ilkesi, havuz girdisi, hedefteki güvenlik duvarı kuralı) ve iş yeniden kurulması kolayken bir kez uygulayın.
Bugün başlıyorsanız şu sırayla çalışın: kaynak listesini yazın, kimliği üç koşulla seçin, sınırı politikaya koyun ve iş canlıya çıkmadan önce bir reddi alıştırın.