Xizmat hisobi uchun VPN kirish: sertifikat yoki umumiy login
Nazoratsiz VPN kirish uchun mashina sertifikatini saqlangan parol bilan solishtiring va haqiqiy ruxsat chegarasini kirishdan keyin ishlaydigan siyosatga joylang.
Deyarli har bir nazoratsiz VPN sozlamasini ikkita loyiha qamrab oladi: skriptda saqlanadigan umumiy inson logini yoki xostga bog'langan mashina sertifikati. Ular turli joylarda buziladi va bu sozlash tezligidan muhimroq. Saqlangan parol egasi uni o'zgartirganda yoki ishdan ketganda buziladi; sertifikat muddati tugaganda yoki xost kalitsiz qayta qurilganda buziladi. Qaysi xarajatni ko'tara olishingizni uchta shart hal qiladi va ruxsat siyosati buni qilmaguncha hech bir loyiha hech narsani cheklamaydi.
Hisobdan emas, vazifadan boshlang
Vazifa chegarani belgilaydi: qaysi manzillar, qaysi xizmatlar, qaysi soatlarda, sessiya qancha davom etishi mumkin. Tunnel yo'li bu chegaraning faqat yarmi. Shlyuz sessiyaga ruxsat berilganini hal qiladi; uning orqasidagi resurs sessiya nima qila olishini hal qiladi. Ro'yxatni avval yozing, nomlangan egasi bilan, chunki ikkala identifikatsiya loyihasi ham uni qondirishi kerak.
Yozayotganda autentifikatsiya va avtorizatsiyani alohida tuting. Autentifikatsiya kim ulanayotganini javob beradi; avtorizatsiya sessiya keyin qayerga yetishi mumkinligini javob beradi. RADIUS ikkinchi qismni Filter-Id, Framed-IP-Address, Session-Timeout va Class kabi atributlar sifatida olib yuradi va login muvaffaqiyatli bo'lgach shlyuz ularni biriktiradi. Loginni almashtirib, avtorizatsiyani o'z holicha qoldirgan loyiha hech narsani cheklamagan.
Umumiy inson logini: parol chegaraga aylanadi
Inson hisobini qayta ishlatish eng tez yo'l va eng yomon qariydigan yo'ldir. Hisob ma'lumoti parol, shuning uchun u skriptga, muhit fayliga va rejalashtiruvchi konfiguratsiyasiga tushadi va har bir nusxa almashtirilishi kerak. Egasi uni juma kuni o'zgartirsa, vazifa keyingi ishga tushishda muvaffaqiyatsiz bo'ladi va hech kim qaramaydi.
MFA bu loyiha odatda qulaydigan joy. Skript push so'roviga javob bera olmaydi, shuning uchun hisob siyosatdan chiqariladi va bu aynan tajovuzkor tanlaydigan hisob. Istisnolar, ishonchli joylar uchun chetlab o'tishlar va hisob bo'yicha imtiyozlar ko'payadi va ularning hech biri ijarchi sozlamalarini o'qiyotgan keyingi odamga ko'rinmaydi.
Nisbatlash boshqa xarajat. Shlyuz jurnalida har bir sessiya bir xil foydalanuvchi nomini olib yuradi, shuning uchun tungi sinxronizatsiyani uni yozgan odamning ishidan ajratib bo'lmaydi va vazifani bekor qilish o'sha odamni bekor qilish demakdir.
Mashina sertifikati: identifikatsiya xostga bog'langan
Sertifikat savolni hisob biladigan narsadan xost nima ekanligiga o'zgartiradi. EAP-TLS da mijoz sertifikat taqdim etadi va mos keladigan maxfiy kalitga egaligini isbotlaydi; siyosat serveri subyektni yoki kompyuter hisobini guruhga bog'laydi va o'sha guruh siyosatini qo'llaydi. So'rov yo'q, matn faylida o'tirgan umumiy sir yo'q.
U yaratadigan chegara odamlar kutganidan torroq. Sertifikat xostni autentifikatsiya qiladi, vazifani emas, va root yoki mahalliy administrator huquqiga ega har kim o'sha xostda o'sha kalitdan foydalanishi mumkin. Kalitni platforma himoya qiladigan joyda saqlang: Windows sertifikat omborida eksport qilinmaydigan, profil ruxsat bergan joyda TPM bilan qo'llab-quvvatlanadigan yoki Linuxda rootga tegishli 0600 fayl. Xostning buzilishi hisob ma'lumotining buzilishidir.
Muddatning tugashi takrorlanadigan nosozlik. Yakshanba kuni muddati tugaydigan sertifikat vazifani yakshanba kuni to'xtatadi va shlyuz odatda sanani aytish o'rniga umumiy autentifikatsiya xatosini xabar qiladi. Sanalarni ish xostidan runbook qismi sifatida tekshiring:
openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcertsBekor qilish shlyuz tekshiradigan yo'lni talab qiladi. OpenVPN CRLni crl-verify opsiyasi orqali o'qiydi, strongSwan esa ulanish profili qanday qurilganiga ko'ra CRL yoki OCSPga tayanadi. Ikkalasi ham ulanmagan bo'lsa, xostni olib tashlash sertifikat muddati tugashini kutish demakdir.
Ular orasida hal qiladigan uchta shart
Taqqoslashni o'zingizdagi platforma bilan qiling, namunaviy loyiha bilan emas.
Birinchi shart: shlyuz mashina identifikatsiyasiga ruxsat bera oladimi? Agar u faqat RADIUS foydalanuvchi nomini katalog foydalanuvchisiga bog'lasa, sertifikat xostni autentifikatsiya qiladi va keyin avtorizatsiyada tiqilib qoladi. Ikkinchi shart: vazifaga faqat foydalanuvchi hisobi olib yuradigan resurs kirishi kerakmi, masalan, bog'langan umumiy jild yoki o'rin uchun litsenziya? Unda mashina identifikatsiyasi o'rnini bosa olmaydi va halol javob cheklangan siyosatli maxsus foydalanuvchi hisobidir. Uchinchi shart: hisob ma'lumotini aylanada odam bo'lmasdan kim almashtira oladi? Avtomatik ro'yxatga olish sertifikatlarni saqlashni arzon qiladi; bir kishi biladigan parol esa yo'q.
| Constraint | Machine certificate | Dedicated user account with stored secret |
|---|---|---|
| Unattended login | Private key proof, no prompt | Only if the account is exempted from MFA |
| Resource expects a user identity | Works only when the resource accepts computer accounts | Matches the access a person would have |
| Rotation | Re-enrollment, often automated | Secret change plus redeploy of every copy |
| Revocation speed | Tied to CRL or OCSP refresh | Disable the account, immediate |
Jadvalni reyting emas, xarajatlar ro'yxati sifatida o'qing. Saqlangan sir ustuni bekor qilish tezligida va faqat foydalanuvchi hisoblarini tushunadigan resurslar bilan moslikda yutadi; sertifikat ustuni almashtirishda va skript ishlashi uchun MFAni zaiflashtirmaslikda yutadi.
Chegarani siyosatga joylang, autentifikatsiyadan keyin
Qaysi identifikatsiyani tanlasangiz ham, ruxsat chegarasi autentifikatsiyadan keyin ishlaydigan siyosatga tegishli. NPSda tarmoq siyosatlari tartib bilan baholanadi va har bir shartga mos keladigan birinchi siyosat o'z sozlamalarini qo'llaydi, shuning uchun tor siyosat ustiga qo'yilgan keng siyosat mijoz nima taqdim etsa ham natijani hal qiladi. Microsoft shartlar va sozlamalar modelini o'zining NPS siyosati sharhida hujjatlashtiradi.
Vazifaga o'z guruhini yoki siyosat shartini bering, mashina identifikatsiyasi olib yuradigan narsaga asoslanib: sertifikat shabloni, qo'ng'iroq qiluvchi stansiya identifikatori yoki maxsus puldan manzil. Keyin sessiyani atributlar bilan bog'lang: shlyuzingiz bog'laydigan rol uchun Filter-Id, tiqilib qolgan vazifa kunlab sessiya ushlab turish o'rniga qayta autentifikatsiya qilishi uchun qisqa Session-Timeout va narigi tomonda xavfsizlik devori bilan himoyalangan puldan Framed-IP-Address. Ilova avtorizatsiyasi alohida qoladi: ma'lumotlar bazasi serveriga tunnel uning ichidagi jadvalni o'qish ruxsati emas.
Rad etishlarni tekshiring, keyin olib tashlashni rejalashtiring
Ishlaydigan kirish eng kam imtiyoz haqida hech narsani isbotlamaydi. Buning o'rniga rad etishlarni sinab ko'ring: vazifa identifikatsiyasi bilan ulanib, ro'yxatdan tashqari manzilga yetishga urinib ko'ring, shlyuz faqat bittasiga ruxsat berishi kerak bo'lsa, ikkinchi bir vaqtdagi sessiya oching va hisob ma'lumoti bekor qilingandan keyin loginni takrorlang.
Keyin o'sha sessiyani ikki joyda tasdiqlang. Shlyuz jurnali autentifikatsiya qilgan identifikatsiyani ko'rsatadi; siyosat serveri jurnali qaysi siyosat mos kelganini va qaysi atributlarni qaytarganini ko'rsatadi. OpenVPNda server sertifikatning umumiy nomini yozadi, strongSwanda ipsec statusall o'rnatilgan tunnelni ishlatilayotgan identifikatsiya bilan chop etadi. Agar ikki jurnal identifikatsiya bo'yicha kelishmasa, siyosat siz taxmin qilgan narsadan boshqa narsaga mos kelmoqda.
Olib tashlash loyihaning qismi, tozalash yugurishining emas. O'chirilishi kerak bo'lgan hamma narsani yozing (sertifikat yoki hisob, guruh a'zoligi, tarmoq siyosati, pul yozuvi, nishondagi xavfsizlik devori qoidasi) va vazifani qayta qurish oson bo'lganda bir marta bajaring.
Bugun boshlayotgan bo'lsangiz, shu tartibda ishlang: resurslar ro'yxatini yozing, identifikatsiyani uchta shart bilan tanlang, chegarani siyosatga joylang va vazifa ishga tushishidan oldin bitta rad etishni mashq qiling.