VPN sertifikati LDAP qismini himoya qilmaydi

Katalog bo’yicha hisob ma’lumotlarini tekshiruvchi VPN kirishi ikkita alohida tarmoq ulanishini o’z ichiga oladi. Foydalanuvchining shlyuzga ulanishi VPNning o’z sertifikati va protokol konfiguratsiyasi bilan himoyalangan. Shlyuzning katalogga ulanishi o’z TLS sozlamalari, o’z ishonch ombori va o’z nosozlik usullariga ega boshqa sessiya. Birinchisi haqida hech narsa ikkinchisi haqida hech narsani kafolatlamaydi.

Aynan shu assimetriya shifrlangan ko’rinadigan, ammo bind parolini ochiq yuboradigan kirish ortidagi mexanizm.

Ikki ulanish, ikki ishonch qarori

Tashqi sessiya foydalanuvchi ko’radigan narsa: VPN xost nomiga bog’langan, mijoz tomonidan tekshirilgan va autentifikatsiya almashinuvini tashuvchi sertifikat. Ichki sessiya shlyuz ichidagi katalog mijoziga tegishli bo’lib, u o’z ulanishini ochadi va TLS bo’yicha kelishadi yoki kelishmaydi. Har bir tomon o’zi gaplashayotgan tomonni boshqa konfiguratsiya faylidan olingan material bilan tekshiradi. Noto’g’ri sozlangan ichki qism foydalanuvchi tomondan ko’rinmay qoladi, chunki tashqi qism aynan mo’ljallangandek ishlaydi.

Shuning uchun nosozlik baland emas, jim bo’ladi. Katalog sertifikatini hech qachon tekshirmaydigan shlyuz ham foydalanuvchilarni to’g’ri autentifikatsiya qiladi; faqat ularni tekshirmagan kanal orqali autentifikatsiya qiladi.

StartTLS va LDAPS, ongli ravishda tanlangan

StartTLS oddiy LDAP sifatida ochiladi va joyida yangilanadi, odatda 389 portda. LDAPS TLSni ulanish bilan birga boshlaydi, odatda 636 da. Ikkalasi ham qonuniy va adapter katalog taklif qilgan narsaga mos kelishi kerak. StartTLSni talab qilish uni sinab ko’rib, yangilanish muvaffaqiyatsiz bo’lganda davom etishdan farq qiladi va aynan shu farqda bind paroli chiqib ketishi mumkin. Qattiq rejimni sozlang va parolli bind uchun himoyalanmagan zaxira yo’lga ruxsat bermang.

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

-ZZ varianti butun masala: so’rov yangilanishsiz jimgina davom etish o’rniga muvaffaqiyatsiz bo’ladi. O’sha satrdagi nomlar va hisoblar misollardir. OpenLDAP TLS hujjatlari uning ortidagi ishonch sozlamalarini qamrab oladi.

LDAP mijozi qaysi ishonch omborini o’qiydi?

OpenLDAP mijoz kutubxonasi o’z ishonch konfiguratsiyasini o’qiydi, u tizim faylidan yoki plaginga xos sozlamadan bo’lishi mumkin. VPNning CA direktivasi VPN hamkorlariga tegishli va LDAP kutubxonasi xuddi shu faylni o’qiydi degan dalil emas. Sertifikat haqiqatan qamrab olgan katalog xost nomini, shuningdek kutubxona ishonadigan chiqaruvchi zanjirini ishlating. Active Directoryda ko’rsatilgan nomdan taxmin qilish o’rniga to’g’ri server autentifikatsiyasi qo’llanilishi bilan katalog xizmati sertifikatini joylashtiring.

Har bir zaxira manzil bir xil identifikatsiya siyosatini qondirishi kerak. Asosiysi tekshirilgan, ikkinchisi tekshirilmagan muhit zaxirasiz muhitdan yomonroq, chunki zaif yo’l faqat uzilish paytida aniqlanadi.

Bind hisobi alohida muammo bo’lib qoladi

Transportni himoya qilish bind hisobi nima qila olishini kamaytirmaydi. Katalogdagi qidiruv doirasi, guruh avtorizatsiyasi va xizmat hisobining imtiyozlari alohida qarorlar, va keng bind hisobi TLS yoqilgandan keyin ham keng bo’lib qoladi. Integratsiyaga kerak bo’lgan eng tor xizmat hisobi va qidiruv bazasini ishlating, va oxirgi nuqta, TLS rejimi, ishonch egasi va yangilash jarayonini VPN konfiguratsiyasi bilan birga qayd eting.

Sertifikat nomuvofiqligi paydo bo’lganda, to’g’ri sertifikat yoki zanjirni joylashtiring. Tekshiruvni o’chirish ko’rinadigan nomuvofiqlikni ko’rinmas holga keltiradi va ikkinchi ishonch munosabatini tekshirilmagan holda qoldiradi.

Ikki ulanish, ikki egasi, ikki yangilash sanasi. Ularni hujjatlarda alohida saqlash kirishni halol saqlaydi.