VPN autentifikatsiya backendini eski xeshlarni qayta ishlatmasdan ko'chirish
VPN identifikatorlarini ko'chirish nusxa emas, o'tishdir: autentifikatsiya zanjirini xaritalang, pilot guruhni ko'chiring, hisob ma'lumotlari o'zgarishlarini sinab ko'ring va qayta o'rnatish bekor qila olmaydigan tiklashni rejalashtiring.
Foydalanuvchi nomlari yangi katalogda paydo bo'ladi, migratsiya tugagan deb e'lon qilinadi va kirishlar baribir muvaffaqiyatsiz bo'ladi. Shlyuz hali ham qo'llab-quvvatlanadigan autentifikatsiya yo'li va to'g'ri avtorizatsiya natijasiga muhtoj va ikkalasi ham endi hisoblarni saqlovchi katalogdan kelib chiqmaydi. Backendni ko'chirish hayot tsikliga ega o'tishdir, nusxa ko'chirish ishi emas. Quyidagi simptom odatda farqni ochib beradigan simptomdir.
Simptom: hisoblar bor, sessiyalar yo'q
Yangi katalog har bir foydalanuvchi nomini saqlaydi, sinov ulanishi muvaffaqiyatli bo'ladi va VPN mijozi baribir autentifikatsiya xatosini qaytaradi. Bu birikma identifikator mavjudligini, lekin shlyuz ishlatadigan tekshirish yo'li unga yetib bormasligini yoki uni qondira olmaydigan usul bilan yetib borishini bildiradi. Ikkalasi ham konfiguratsiya va bu turli muammolar.
Birinchisi kabel: shlyuz javob bermaydigan backendga ishora qiladi, qarshi tomon kutmaydigan umumiy sirni ishlatadi yoki yangi xizmat qaytarmaydigan atributni so'raydi. Ikkinchisi kriptografik: usul asl sirni talab qiladi va yangi ombor faqat uning xeshini saqlaydi. Xato matni ikkala holatda ham o'xshash ko'rinadi, shuning uchun ikkalasi bitta muammo sifatida ko'rib chiqiladi.
Bu ikkalasini hisoblarga tegmasdan ajratish bir haftani tejaydi. Biri marshrutlash va ishonch masalasi, ikkinchisi hisob ma'lumotlarini qayta o'rnatish bo'yicha qaror va ularni aralashtirish hech kim bog'lay olmaydigan o'zgarishlarni keltirib chiqaradi.
Hech kimni ko'chirishdan oldin zanjirni xaritalang
Har bir mijoz profili uchun olti narsani yozing: tashqi autentifikatsiya usuli, mavjud bo'lsa ichki usul, mijoz kutayotgan server identifikatori, shlyuz bilan backend o'rtasidagi interfeys, shlyuz guruh a'zoligiga xaritalaydigan atribut va bundan kelib chiqadigan resurs siyosati. Ularni tartib bilan o'qish qaysi bo'g'inda egasi yo'qligini ko'rsatadi. Har bir elementning egasi bor va o'tish hech kim tekshirmagan joyda muvaffaqiyatsiz bo'ladi.
| Link | Question it answers |
|---|---|
| Client profile | Which method and server name does the client use? |
| Inner method | Is there a second authentication step? |
| Server identity | Which certificate or name must the client accept? |
| Gateway to backend | Which protocol, port and shared secret? |
| Attribute mapping | Which returned value becomes group membership? |
| Resource policy | What the resulting session may reach |
Oddiy katalog kirishi bu zanjirning deyarli hech biridan o'tmaydi. U hisob mavjudligini va parol ishlashini isbotlaydi, ya'ni hech qachon shubha ostiga olinmagan qismni.
Xeshlar usullar o'rtasida sayohat qilmaydi
Hisob ma'lumotlarining mosligi har qanday guruh harakatlanishidan oldin bir marta tekshirilishi kerak. FreeRADIUS bo'linishni aniq hujjatlashtiradi: serverning o'zi bajaradigan CHAP tekshiruvi haqiqiy parolni talab qiladi va MS-CHAP o'sha parolni yoki mos NT materialini qabul qiladi. Boshqa maqsad uchun yaratilgan xesh qanchalik kuchli bo'lmasin, ikkala holatga ham mos kelmaydi.
Farq dalilni kim hisoblashida. Katalogga bog'lanish orqali tekshiruvchi usul katalogga o'zi tekshira oladigan narsani tekshirishga imkon beradi. Chaqiruv javobini qayta hisoblash orqali tekshiruvchi usul sirning o'zini talab qiladi, chunki server xuddi shu hisobni bajarishi kerak.
Material yo'q joyda halol variantlar qo'llab-quvvatlanadigan qayta o'rnatish, qayta ro'yxatdan o'tish, tashqi tekshirish xizmati yoki usulni o'zgartirishdir. Tiklanadigan parollarni vaqtincha eksport qilish bu ro'yxatda yo'q. U loyihaning eng tartibsiz haftasida ochiq matnli hisob ma'lumotlari omborini yaratadi va odatda migratsiyadan keyin ham qoladi.
Pilot guruh, so'ngra hayot tsikli o'zgarishlari
Tasdiqlangan identifikatorlardan kichik guruhni haqiqiy mijoz bilan ko'chiring va to'rt narsani sinab ko'ring: yangi kirish, ataylab noto'g'ri hisob ma'lumoti, sessiya yeta oladigan resurslar va yeta olmasligi kerak bo'lgan resurslar. Mijoz qabul qilgan server identifikatorini ham tekshiring, chunki sertifikat nomining nomuvofiqligi kimdir mijoz jurnalini o'qimaguncha ko'rinmaydi.
So'ngra joriy etish haqiqatan bog'liq bo'lgan o'zgarishlarni sinab ko'ring. Parolni o'zgartiring, sertifikatni yangilang yoki qayta ro'yxatdan o'tkazing va bitta pilot hisobdan kirishni olib tashlang. Har biridan keyin urinishni qaysi tekshiruvchi ko'rib chiqqanini tasdiqlang, chunki o'tishdan oldin yaratilgan sessiya ishlashda davom etishi mumkin va keyingi kirish haqida hech narsa isbotlamaydi.
Profil yetkazib berishni identifikator almashtirishdan ajrating. Har bir guruhga o'zining rejalashtirilgan profili, hisob ma'lumoti yoki ro'yxatdan o'tish holati, ishlatishi kerak bo'lgan autentifikatsiya xizmati va qo'llab-quvvatlash kontakti kerak va bu yozuvlarning hech birida sir bo'lmasligi kerak.
Agar eski va yangi yo'llar birga mavjud bo'lsa, ularni tugash sanasi bilan chegaralang. Avtomatik qaytish yangi egasi kirishni olib tashlaganidan keyin hisobni eski hisob ma'lumoti orqali ichkariga kiritishi mumkin va bu mavjudlik niqobidagi xavfsizlik regressiyasidir.
Orqaga qaytarish hisob ma'lumotini tiklay olmaydi
O'tishni teskari aylantirish katalogni aynan hozirgi holatida qoldiradi. Qayta o'rnatilgan parol qayta o'rnatilgan holda qoladi, bekor qilingan sertifikat bekor qilingan holda qoladi va o'zgartirilgan hisob ma'lumoti formati o'zgartirilgan holda qoladi. Bular katalogdagi hodisalar va shlyuz hech qachon ularning manbasi bo'lmagan. Tiklash har bir hodisa bo'yicha belgilanishi kerak va uning hech biri mos kelmaydigan xeshdan sirni qayta qurishga bog'liq bo'lmasligi kerak.
Ko'chirilayotgan ulanishni ishlatmaydigan ma'muriy yo'lni saqlang. Yangi autentifikatsiya muvaffaqiyatsiz bo'lganda guruhni to'xtating va muddatga yetish uchun hamma uchun autentifikatsiyani zaiflashtirish o'rniga uning hujjatlashtirilgan tiklash yo'lidan foydalaning.
Guruhlar qamrab olingandan so'ng eski backend hisob ma'lumotlarini, profillarini va ishonch munosabatlarini egalari orqali foydalanishdan chiqaring. Eski yo'l endi foydalanuvchilarni kiritmasligini tasdiqlang va qo'llab-quvvatlash hali muhtoj bo'lgan sirsiz identifikator-siyosat moslamasini saqlang. Migratsiya yangi hayot tsikli ishlaganda va hech kim eski yo'ldan kira olmaganda tugaydi, hisoblar ro'yxati to'liq ko'ringanda emas.