Ikki kirish tekshiruvi ikki omil emas: VPN va RADIUS

VPN shlyuziga ikkinchi autentifikatsiya backendini qo‘shish ikkinchi omil qo‘shishdek tuyuladi. Odatda u ikkinchi tekshiruvni qo‘shadi, bu esa boshqa nosozlik rejimlariga ega boshqa obyekt. Ikkalasi ham muvaffaqiyatli bo‘lishi kerakmi, har biri nimani isbotlaydi va biri mavjud bo‘lmaganda nima bo‘ladi, bu uchta alohida qaror. Xato qilsangiz, shlyuz namoyishda qattiqroq, uzilish paytida esa zaifroq bo‘ladi.

Ikkinchi backend aslida nimani isbotlaydi

Mahalliy hisobdan qidirish ism ma’lumotlar bazasida mavjudligini va parol unga mos kelganini isbotlaydi. RADIUS almashinuvi RADIUS serveri olgan atributlar uchun Access-Accept qaytarganini isbotlaydi. Ikkala bayonot ham omil turini eslatmaydi, chunki ikkalasi ham bilimni tekshiradi. Va NIST raqamli identifikatsiya yo‘riqnomasi turli omil turlari va ularning autentifikatorlarini sanaydi, serverlar yoki ko‘rsatmalarni emas.

Ikkala tizim ishtirok etadigan qonuniy dizayn mavjud. Markaziy xizmat shaxsni autentifikatsiya qilishi mumkin, shlyuz esa bu hisobning ushbu tunnelga huquqi bor-yo‘qligini mustaqil tekshiradi. Bu autentifikatsiya yonidagi avtorizatsiya bo‘lib, uni ikki omil deb atash siyosat tekshiruvini egalik isboti bilan aralashtiradi.

RADIUS haqiqiy ikkinchi omilni olib yurishi mumkin, qachonki u bittasini tekshiruvchi narsa oldida tursa, masalan push tasdiq yoki apparat tokeni. Konvert foydalanuvchi qaysi autentifikatorlarni ko‘rsatganini aytmaydi, shuning uchun shlyuz yorlig‘ini emas, backend siyosatini o‘qing.

AND, OR va zaxira turli mahsulotlar

Amalga oshirishlarni solishtirishdan oldin talabingizda ikkalasi nimani anglatishini hal qiling. AND siyosati har bir nomlangan tekshiruvdan o‘tishni talab qiladi, OR siyosati muvaffaqiyatli bo‘lganini qabul qiladi, zaxira esa ikkinchisini faqat e’lon qilingan nosozlik shartlarida sinab ko‘radi. Bu uchtasi uzilish paytida qarama-qarshi harakat qiladi va odatda ulardan faqat bittasi ko‘rik nazarda tutgan narsadir.

Konfiguratsiya ekraniga ikkita backend yozuvini qo‘shish mahsulot qaysi siyosatni qo‘llashini ochib bermaydi. Ba’zi shlyuzlar plaginlarni tartib bilan zanjirlaydi va birinchi rad javobida to‘xtaydi, bu esa har bir plagin majburiy bo‘lgandagina AND bo‘ladi. Boshqalari mahalliy hisobni qayta yozish deb biladi, bu markaziy uzilishni chetlab o‘tishga aylantiradi. Ishonchli javob har bir yo‘l uchun hujjatlashtirilgan salbiy test bo‘lib, siz joylashtiradigan buildga qarshi o‘tkaziladi.

Zaxira eng ko‘p shubhaga loyiq, chunki u biror narsa buzilganda ishlashni davom ettirish uchun mavjud. RADIUS yetib bormasa ham mahalliy parolni qabul qiladigan zaxira markaziy siyosatni ikkinchi, zaifroq eshikka aylantirgan.

OpenVPN ning ikki tomonlama tekshiruvi aniq holat

Jamiyat OpenVPN 2.6 ikkalasi yoqilganda ham mijoz sertifikatini, ham sozlangan auth-user-pass-verify skriptini talab qiladi. Bu sertifikat tekshiruvi va hisob ma’lumotlari skripti o‘rtasidagi hujjatlashtirilgan AND bo‘lib, bu haqiqatan ikki tekshiruv. Shunga qaramay u avtomatik ravishda ikki turdagi omil emas, chunki skript faqat parolni tekshirishi mumkin.

Kombinatsiya bog‘lanish masalasini ham ochiq qoldiradi. Sertifikat odatda qurilmani, hisob ma’lumotlari esa shaxsni aniqlaydi va standart oqimda ikkalasi ham bir subyektga tegishli bo‘lishini hech narsa talab qilmaydi. Qaysi juftliklarga ruxsat berilishini hal qiling, so‘ng bu xaritani tekshiruv skripti ichida yoki keyingi avtorizatsiya bosqichida qo‘llang.

Faqat sertifikat rejimi bitta tekshiruv bo‘lib, PIN bilan himoyalangan yoki himoyalanmagan kalitga tayanadi. PIN bir xil hisob ma’lumotlarini bilim va egalikka faqat kalit usiz ishlatilmasagina aylantiradi. Kalitni diskda shifrlanmagan qoldirish ikkinchi qismni fayl ruxsatiga qisqartiradi.

Qurilma ishlab chiqaruvchilari o‘z quvurlarini quradilar, ko‘pincha veb-konsol ortida PAM moduli yoki RADIUS plagini. Jamiyat xulqi ikki tomonlama tekshiruvlar qanday ko‘rinishiga oid manba, qurilma ularni qanday birlashtirishi tavsifi emas.

Kombinatsiyani o‘z shlyuzingizda tekshiring

Konsol xulosasiga ishonishdan oldin konfiguratsiyani o‘qing. Siyosatni belgilovchi satrlar sertifikat rejimi, hisob ma’lumotlari skripti va plagin tartibidir.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep sertifikat kerakmi va undan keyin qaysi skript ishlashini ko‘rsatadi, tartib esa nomlar ishora qilganidan muhimroq. Sertifikat dumpi shlyuz ko‘radigan identifikatsiyani beradi, bog‘lanish xaritasi uchun kerak CN va seriya raqamini o‘z ichiga oladi. RADIUS testi salbiy holat: noto‘g‘ri parol Access-Reject, to‘g‘ri esa Access-Accept berishi kerak. Rad etilgan hisob ma’lumotlari baribir sessiya bersa, skript autentifikatsiya yo‘lida umuman yo‘q.

So‘ng laboratoriya nusxasida uzilish holatini ishga tushiring: majburiy backendni to‘xtating va haqiqiy hisob ma’lumotlari bilan ulanib chiqing. Kutilgan natija rad, qolgan har qanday narsa esa hech kim hujjatlashtirmagan zaxira siyosatdir.

Talabni salbiy holatlar sifatida yozing

Foydali talab isbotlarni, ularni taqdim etishga ruxsat berilgan hisoblarni va tekshiruvchi yo‘q bo‘lganda natijani nomlaydi. Qurilma identifikatsiyasi va shaxs identifikatsiyasi o‘rtasidagi ruxsat etilgan juftlikni ham bildiradi. Bu xarid buyurtmasidagi mahsulot nomlaridan aniqroq va uni sinab ko‘rish mumkin.

Qabul to‘rtta radni o‘z ichiga olishi kerak: noloyiq mahalliy hisob, yo‘q majburiy isbot, yaroqsiz ikkinchi omil va yetib bo‘lmaydigan majburiy backend. Har bir rad boshqalardan ajratib turuvchi jurnal satrini talab qiladi, aks holda keyingi voqea taxminlar bilan boshlanadi. Qaysi komponent qaysi qarorni qabul qilganini yozib qo‘ying, chunki shlyuz, RADIUS serveri va katalog bir-birini ayblaydi.

Har qanday plagin yoki proshivka o‘zgarishidan keyin to‘rtta radni qayta ishga tushiring. Ular arzon, va ular himoya qiladigan siyosat hujumchi birinchi tekshiradigan qismdir.