Iwe-ẹri VPN ko daabobo apa LDAP

Iwọle VPN ti n ṣayẹwo awọn ẹri lodi si itọsọna kan ni awọn asopọ nẹtiwọọki meji ti o yatọ. Asopọ olumulo si ẹnu-ọna ni a daabobo nipasẹ iwe-ẹri VPN funrararẹ ati iṣeto ilana naa. Asopọ ẹnu-ọna si itọsọna naa jẹ ipejọ miiran ti o ni awọn eto TLS tirẹ, ibi-ipamọ igbẹkẹle tirẹ ati awọn ọna ikuna tirẹ. Ko si nkankan ninu akọkọ ti o ṣe idaniloju nkankan nipa ekeji.

Aiṣedeede yẹn ni ilana ti o wa lẹhin iwọle ti o dabi ẹnipe o fi pamọ ti o si tun fi ọrọ igbaniwọle bind ranṣẹ ni gbangba.

Awọn asopọ meji, awọn ipinnu igbẹkẹle meji

Ipejọ ode ni ohun ti olumulo ri: iwe-ẹri ti a so mọ orukọ agbalejo VPN, ti alabara fọwọsi, ti o gbe paṣipaarọ ijẹrisi naa. Ipejọ inu jẹ ti alabara itọsọna ninu ẹnu-ọna, ti o ṣii asopọ tirẹ ti o si jiroro TLS tabi ko ṣe bẹẹ. Ẹgbẹ kọọkan n fọwọsi ẹniti o n ba sọrọ, ni lilo awọn ohun elo lati faili iṣeto miiran. Apa inu ti a ṣeto ni aṣiṣe maa n ṣi wa ni airi lati ẹgbẹ olumulo, nitori apa ode n ṣiṣẹ gẹgẹ bi a ti pinnu.

Idi niyẹn ti ikuna naa fi dakẹ kii ṣe ariwo. Ẹnu-ọna ti ko ṣayẹwo iwe-ẹri itọsọna lailai tun n jẹrisi awọn olumulo ni deede; o kan n jẹrisi wọn nipasẹ ikanni ti ko fọwọsi.

StartTLS ati LDAPS, ti a yan pẹlu imọmọ

StartTLS ṣii bi LDAP lasan ti a si gbe soke ni ibi, ni deede lori ebute 389. LDAPS bẹrẹ TLS pẹlu asopọ naa, ni deede lori 636. Awọn mejeeji tọ ni ofin ati pe adaparọ gbọdọ ba ohun ti itọsọna n pese mu. Pipa StartTLS ni aṣẹ yatọ si gbigbìyanju rẹ ati tẹsiwaju nigba ti igbega ba kuna, ati ninu iyatọ yẹn ni ọrọ igbaniwọle bind le sa jade. Ṣeto ipo lile, ki o ma ṣe gba ọna abẹ ẹyọ ti ko ni aabo fun bind pẹlu ọrọ igbaniwọle.

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

-ZZ aṣayan ni gbogbo koko: ibeere naa kuna dipo ki o tẹsiwaju ni idakẹjẹ laisi igbega. Awọn orukọ ati awọn akọọlẹ lori ila yẹn jẹ apẹẹrẹ. Iwe OpenLDAP TLS bo awọn eto igbẹkẹle ti o wa lẹhin rẹ.

Ibi-ipamọ igbẹkẹle wo ni alabara LDAP n ka?

Ile-ikawe alabara OpenLDAP ka iṣeto igbẹkẹle tirẹ, boya lati faili eto tabi lati eto kan pato fun pilogini. Ilana CA ti VPN kan awọn ẹlẹgbẹ VPN ati kii ṣe ẹri pe ile-ikawe LDAP ka faili kanna. Lo orukọ agbalejo itọsọna ti iwe-ẹri naa bo nitootọ, pẹlu ẹwọn olutẹjade ti ile-ikawe gbẹkẹle. Ninu Active Directory, gbe iwe-ẹri iṣẹ itọsọna kalẹ pẹlu lilo ijẹrisi sẹẹri ti o tọ dipo ki o ro lati orukọ ifihan.

Gbogbo ibi-afẹde iyipada nigba ikuna gbọdọ ni ilana idanimọ kanna. Ayika nibiti akọkọ ti fọwọsi ti ekeji ko ni buru ju eyi ti ko ni iyipada lọ, nitori ọna alailagbara ni a maa n rii nikan lakoko idalọwọduro.

Akọọlẹ bind si jẹ iṣoro lọtọ

Idaabobo gbigbe ko dinku ohun ti akọọlẹ bind le ṣe. Iwọn wiwa ninu itọsọna, aṣẹ ẹgbẹ ati awọn anfani akọọlẹ iṣẹ jẹ ipinnu lọtọ, ati akọọlẹ bind ti o gbooro si wa ni gbooro lẹhin ti TLS ti mu ṣiṣẹ. Lo akọọlẹ iṣẹ ti o dín julọ ati ipilẹ wiwa ti iṣọpọ nilo, ki o si ṣe igbasilẹ opin, ipo TLS, eni igbẹkẹle ati ilana isọdọtun pẹlu iṣeto VPN.

Nigba ti aiṣedeede iwe-ẹri ba han, gbe iwe-ẹri tabi ẹwọn ti o tọ kalẹ. Pipa ijẹrisi yi aiṣedeede ti o han pada si eyi ti ko han ti o si fi ibasepo igbẹkẹle keji silẹ laini idanwo.

Awọn asopọ meji, awọn oniwun meji, awọn ọjọ isọdọtun meji. Pipa wọn lọtọ ninu iwe-akọọlẹ ni ohun ti n jẹ ki iwọle jẹ olododo.