VPN صارف کی رجسٹریشن: پہلے شناخت کا مالک تلاش کریں

کوئی VPN رسائی مانگتا ہے، اور پہلا ردِعمل سرور پر adduser چلانا ہوتا ہے۔ یہ ردِعمل صرف چند محدود تعیناتیوں میں درست ہے۔ کچھ بھی بنانے سے پہلے سرور کی ترتیب کھولیں اور معلوم کریں کہ وہاں کون سی مصنوعات چلتی ہے اور کہاں اسناد کی تصدیق کرتی ہے، کیونکہ اکاؤنٹ مصنوعات کے ڈیٹا بیس، شناخت فراہم کنندہ یا میزبان کے اپنے توثیقی اسٹیک میں ہو سکتا ہے۔ غلط قسم کا اکاؤنٹ بنانے سے شخص کے پاس چلتی ہوئی لاگ ان رہتی ہے اور ٹنل نہیں۔

جو کلائنٹ پروفائل OpenVPN کہتی ہے وہ پروٹوکول بیان کرتی ہے، اس کے پیچھے کا شناختی نظام نہیں۔

adduser سے نہیں، سرور سے شروع کریں

پہلے مصنوعات کی نشاندہی کریں۔ Community OpenVPN وہ ڈیمن اور اس میں جوڑا گیا کوئی بھی توثیق ہے، جبکہ Access Server اپنی الگ صارف تہہ والی مصنوعات ہے۔ ترتیب، یونٹ کا نام اور پیکجوں کی فہرست طلب کریں، اور دیکھیں کہ صارف کے انتظام کے لیے ویب انٹرفیس موجود ہے یا نہیں۔ پھر دیکھیں کہ تعینات شدہ پروفائل کلائنٹس سے اپنی شناخت کیسے ثابت کرنے کی توقع رکھتی ہے: سرٹیفکیٹ، صارف نام اور پاس ورڈ، یا دونوں۔ وہی جواب اس نظام کا نام دیتا ہے جو اکاؤنٹ کا مالک ہے۔

اسی کے بعد ہی صارف بنانے کا فقرہ معنی رکھتا ہے۔ صرف سرٹیفکیٹ والی تعیناتی میں اس کا مطلب منظور شدہ عمل کے ذریعے آلے کی شناخت جاری کرنا ہے، اور Unix لاگ ان کچھ نہیں بدلتا۔ پاس ورڈ والی تعیناتی میں اس کا مطلب وہ بیک اینڈ ہے جو واقعی پاس ورڈ کی تصدیق کرتا ہے۔

چار بیک اینڈ، اکاؤنٹ بنانے کی چار جگہیں

Access Server کی مقامی توثیق اکاؤنٹس اپنے ڈیٹا بیس میں رکھتی ہے، اس لیے انہیں بنانے کا انٹرفیس میزبان کا نہیں، مصنوعات کا ہے۔ PAM توثیق آپریٹنگ سسٹم کے اسٹیک کے سپرد کرتا ہے، اسی لیے جب سروس نے وہی اسٹیک چنا ہو تو مقامی Unix اکاؤنٹ رجسٹریشن کا حصہ ہو سکتا ہے۔ LDAP، RADIUS اور SAML توثیق کو بیرونی سروس میں منتقل کرتے ہیں، جہاں فراہمی، پاس ورڈ پالیسی اور MFA رہتے ہیں۔ Access Server چاروں صورتوں میں فی صارف سرٹیفکیٹ اور اجازتیں رکھ سکتا ہے، اور تقسیم کو الجھن بھری بنانے والی بات یہی ہے۔

عالمی ڈیفالٹ نہیں، اس مخصوص صارف کے لیے مؤثر طریقہ دیکھیں۔ Access Server 2.10 اور بعد کے ورژن گروپ یا صارف کے حساب سے مختلف توثیقی طریقے لاگو کر سکتے ہیں، اس لیے ڈیفالٹ مقامی ہونا یہ ثابت نہیں کرتا کہ آپ کے سامنے والا اکاؤنٹ مقامی طور پر تصدیق ہوتا ہے۔

حق ایک الگ فیصلہ ہے

توثیق بتاتی ہے شخص کون ہے؛ حق بتاتا ہے وہ کہاں تک پہنچ سکتا ہے۔ انہیں دو مرحلوں کے طور پر رکھیں، کیونکہ کامیاب لاگ ان دینا نہیں ہے۔ مطلوبہ راستے، وسائل کی اجازتیں اور انتظامی حقوق جان بوجھ کر دیں، اور تصدیق کریں کہ غیر متعلق رسائی مسترد ہی رہتی ہے۔ جہاں تعیناتی انفرادی شناختوں کی حمایت کرتی ہے، وہاں کسی اور کی پروفائل آگے بھیجنے کے بجائے ہر شخص کے لیے ایک جاری کریں، کیونکہ مشترکہ پروفائل کسی ایک شخص کے لیے منسوخ نہیں کی جا سکتی۔

کلائنٹ مواد بھی اہم ہے۔ خودکار لاگ ان پروفائل اور متعامل صارف لاگ ان مختلف توثیقی تعلقات کی نمائندگی کرتے ہیں، اور ایک کو دوسرے سے بدلنا بدل دیتا ہے کہ سرور واقعی کیا تصدیق کرتا ہے۔

رسائی منسوخ کرنا رجسٹریشن کا حصہ ہے

صارف بنتے وقت تین مالکان لکھیں: کون اکاؤنٹ کی تصدیق کرتا ہے، کون VPN رسائی کی اجازت دیتا ہے، اور کون سا آلہ یا پروفائل رابطے کی نمائندگی کرتا ہے۔ یہ تین مختلف نظام ہو سکتے ہیں، اور صرف ایک کا نام لینے والا منسوخی کا منصوبہ ایک راستہ کھلا چھوڑ دیتا ہے۔ جب شخص جاتا ہے تو حق اس کے مالک سے ہٹائیں اور جاری کردہ ہر سند اس کے مالک کے پاس منسوخ کریں۔ ڈاؤن لوڈ کی گئی فائل مٹانا منسوخی نہیں ہے، اور اگر بیرونی شناخت اب بھی توثیق ہو رہی ہو تو مقامی اندراج مٹانا بھی منسوخی نہیں ہے۔

پھر رجسٹریشن کو ویسے جانچیں جیسے کوئی حملہ آور کرے گا: نئی شناخت کے ساتھ ایک بار جڑیں، مطلوبہ وسیلے تک رسائی کی تصدیق کریں، اور تصدیق کریں کہ غیر متعلق وسیلہ اب بھی انکار کرتا ہے۔ چلنے والا پہلا رابطہ اور ایک منفی آزمائش مل کر مکمل رجسٹریشن ہے۔

ریکارڈ کو اسی پروفائل کے ساتھ رکھیں جس کا وہ ہے۔ اگلا محاسب پوچھے گا کہ کسی مہینے میں کون جڑ سکتا تھا، اور جواب انہی تین مالکان میں ہے۔