VPN foydalanuvchisini ro'yxatga olish: avval identifikatsiya egasini toping

Kimdir VPN'ga kirish so'raydi va birinchi instinkt serverda adduser ishga tushirishdir. Bu instinkt faqat tor doiradagi joylashtirishlarda to'g'ri. Biror narsa yaratishdan oldin server konfiguratsiyasini ochib, u yerda qaysi mahsulot ishlayotganini va hisob ma'lumotlarini qayerda tekshirishini aniqlang, chunki hisob mahsulot ma'lumotlar bazasida, identifikatsiya provayderida yoki xostning o'z autentifikatsiya stekida bo'lishi mumkin. Noto'g'ri turdagi hisob yaratish odamni ishlaydigan kirish bilan va tunnelsiz qoldiradi.

OpenVPN deb yozilgan mijoz profili protokolni tasvirlaydi, uning orqasidagi identifikatsiya tizimini emas.

adduser'dan emas, serverdan boshlang

Avval mahsulotni aniqlang. Community OpenVPN — bu demon va unga ulagan har qanday autentifikatsiya, Access Server esa o'z foydalanuvchi qatlamiga ega mahsulot. Konfiguratsiya, unit nomi va paketlar ro'yxatini so'rang va foydalanuvchilarni boshqarish uchun veb-interfeys bor-yo'qligini tekshiring. So'ngra joylashtirilgan profil mijozlardan o'zlarining kimligini qanday isbotlashini kutishini ko'ring: sertifikat, foydalanuvchi nomi va parol yoki ikkalasi. Bu javob hisobga ega tizimni nomlaydi.

Shundan keyingina foydalanuvchi yaratish iborasi ma'noga ega bo'ladi. Faqat sertifikatli joylashtirishda bu tasdiqlangan jarayon orqali qurilma identifikatsiyasini berishni anglatadi va Unix kirishi hech narsani o'zgartirmaydi. Parolli joylashtirishda bu parolni haqiqatan tekshiruvchi backendni anglatadi.

To'rt backend, hisob yaratish uchun to'rt joy

Access Server'ning lokal autentifikatsiyasi hisoblarni o'z ma'lumotlar bazasida saqlaydi, shuning uchun ularni yaratish interfeysi xostga emas, mahsulotga tegishli. PAM tekshirishni operatsion tizim stekiga topshiradi, shuning uchun xizmat aynan shu stekni tanlagan bo'lsa, lokal Unix hisobi ro'yxatga olishning bir qismi bo'lishi mumkin. LDAP, RADIUS va SAML tekshirishni tashqi xizmatga ko'chiradi, u yerda ta'minlash, parol siyosati va MFA joylashgan. Access Server to'rt holatda ham foydalanuvchi bo'yicha sertifikatlar va ruxsatlarni saqlab turishi mumkin va bo'linishni chalkashtiradigan narsa aynan shu.

Global standartni emas, aynan shu foydalanuvchi uchun amaldagi usulni tekshiring. Access Server 2.10 va undan keyingi versiyalar guruh yoki foydalanuvchi bo'yicha turli autentifikatsiya usullarini qo'llashi mumkin, shuning uchun standartning lokal bo'lishi sizning oldingizdagi hisob lokal tekshirilishini isbotlamaydi.

Huquq alohida qaror

Autentifikatsiya odam kimligini, huquq esa nimaga yetib borishini javob beradi. Ularni ikki qadam sifatida saqlang, chunki muvaffaqiyatli kirish berish emas. Mo'ljallangan marshrutlar, resurs ruxsatlari va ma'muriy huquqlarni ataylab tayinlang va aloqasiz kirish rad etilgan holda qolishini tasdiqlang. Joylashtirish individual identifikatsiyalarni qo'llab-quvvatlaydigan joyda boshqa birovning profilini yuborish o'rniga har bir shaxsga bittadan bering, chunki umumiy profilni bir kishi uchun bekor qilib bo'lmaydi.

Mijoz materiali ham muhim. Avtomatik kirish profili va interaktiv foydalanuvchi kirishi turli autentifikatsiya munosabatlarini ifodalaydi va birini ikkinchisi bilan almashtirish server haqiqatan nimani tekshirishini o'zgartiradi.

Kirishni bekor qilish ro'yxatga olishning bir qismi

Foydalanuvchi yaratilayotganda uchta egasini yozib qo'ying: kim hisobni tekshiradi, kim VPN kirishiga ruxsat beradi va qaysi qurilma yoki profil ulanishni ifodalaydi. Bular uch xil tizim bo'lishi mumkin va ulardan faqat bittasini nomlaydigan bekor qilish rejasi yo'lni ochiq qoldiradi. Odam ketganda huquqni uning egasidan olib tashlang va berilgan har bir hisob ma'lumotini uning egasida bekor qiling. Yuklab olingan faylni o'chirish bekor qilish emas va tashqi identifikatsiya hali autentifikatsiyadan o'tayotgan bo'lsa, lokal yozuvni o'chirish ham bekor qilish emas.

So'ngra ro'yxatga olishni tajovuzkor qilganday sinab ko'ring: yangi identifikatsiya bilan bir marta ulanib, mo'ljallangan resursga kirishni tasdiqlang va aloqasiz resurs hali ham rad etishini tasdiqlang. Ishlaydigan birinchi ulanish va salbiy test birgalikda tugallangan ro'yxatga olishdir.

Yozuvni u tegishli bo'lgan profil bilan birga saqlang. Keyingi auditor ma'lum bir oyda kim ulanishi mumkinligini so'raydi va javob o'sha uch egada.