🥇अत्यधिक सुरक्षित रिमोट एक्सेस की अवधारणा का कार्यान्वयन

संगठन के विषय पर लेखों की श्रृंखला जारी है रिमोट-एक्सेस वीपीएन एक्सेस मैं मदद नहीं कर सकता लेकिन अपना दिलचस्प तैनाती अनुभव साझा कर सकता हूं अत्यधिक सुरक्षित वीपीएन कॉन्फ़िगरेशन. एक ग्राहक द्वारा एक गैर-तुच्छ कार्य प्रस्तुत किया गया था (रूसी गांवों में आविष्कारक हैं), लेकिन चुनौती स्वीकार कर ली गई और रचनात्मक रूप से कार्यान्वित की गई। परिणाम निम्नलिखित विशेषताओं के साथ एक दिलचस्प अवधारणा है:

टर्मिनल डिवाइस के प्रतिस्थापन के विरुद्ध सुरक्षा के कई कारक (उपयोगकर्ता के लिए सख्त बंधन के साथ);
- प्रमाणीकरण डेटाबेस में अनुमत पीसी के निर्दिष्ट यूडीआईडी के साथ उपयोगकर्ता के पीसी के अनुपालन का आकलन करना;
- सिस्को डीयूओ के माध्यम से द्वितीयक प्रमाणीकरण के लिए प्रमाणपत्र से पीसी यूडीआईडी का उपयोग करते हुए एमएफए के साथ (आप कोई भी एसएएमएल/रेडियस संगत संलग्न कर सकते हैं);
बहु-कारक प्रमाणीकरण:
- उनमें से एक के विरुद्ध फ़ील्ड सत्यापन और द्वितीयक प्रमाणीकरण के साथ उपयोगकर्ता प्रमाणपत्र;
- लॉगिन (अपरिवर्तनीय, प्रमाणपत्र से लिया गया) और पासवर्ड;
कनेक्टिंग होस्ट की स्थिति का अनुमान लगाना (मुद्रा)

प्रयुक्त समाधान घटक:

सिस्को एएसए (वीपीएन गेटवे);
सिस्को आईएसई (प्रमाणीकरण/प्राधिकरण/लेखा, राज्य मूल्यांकन, सीए);
सिस्को DUO (मल्टी-फैक्टर ऑथेंटिकेशन) (आप कोई भी एसएएमएल/रेडियस संगत संलग्न कर सकते हैं);
सिस्को एनीकनेक्ट (वर्कस्टेशन और मोबाइल ओएस के लिए बहुउद्देश्यीय एजेंट);

आइए ग्राहक की आवश्यकताओं से शुरुआत करें:

उपयोगकर्ता को अपने लॉगिन/पासवर्ड प्रमाणीकरण के माध्यम से, वीपीएन गेटवे से AnyConnect क्लाइंट को डाउनलोड करने में सक्षम होना चाहिए; सभी आवश्यक AnyConnect मॉड्यूल उपयोगकर्ता की नीति के अनुसार स्वचालित रूप से स्थापित होने चाहिए;
उपयोगकर्ता को स्वचालित रूप से प्रमाणपत्र जारी करने में सक्षम होना चाहिए (एक परिदृश्य के लिए, मुख्य परिदृश्य मैन्युअल जारी करना और पीसी पर अपलोड करना है), लेकिन मैंने प्रदर्शन के लिए स्वचालित जारी करना लागू किया (इसे हटाने में कभी देर नहीं होती)।
मूल प्रमाणीकरण कई चरणों में होना चाहिए, पहले आवश्यक फ़ील्ड और उनके मूल्यों के विश्लेषण के साथ प्रमाणपत्र प्रमाणीकरण होता है, फिर लॉगिन/पासवर्ड, केवल इस बार प्रमाणपत्र फ़ील्ड में निर्दिष्ट उपयोगकर्ता नाम लॉगिन विंडो में डाला जाना चाहिए विषय का नाम (सीएन) संपादित करने की क्षमता के बिना.
आपको यह सुनिश्चित करना होगा कि जिस डिवाइस से आप लॉग इन कर रहे हैं वह रिमोट एक्सेस के लिए उपयोगकर्ता को जारी किया गया कॉर्पोरेट लैपटॉप है, न कि कुछ और। (इस आवश्यकता को पूरा करने के लिए कई विकल्प बनाए गए हैं)
कनेक्टिंग डिवाइस की स्थिति (इस स्तर पर पीसी) का आकलन ग्राहकों की आवश्यकताओं की एक पूरी तालिका (सारांश) की जांच के साथ किया जाना चाहिए:
- फ़ाइलें और उनकी संपत्तियाँ;
- रजिस्ट्री प्रविष्टियाँ;
- प्रदान की गई सूची से ओएस पैच (बाद में एससीसीएम एकीकरण);
- किसी विशिष्ट निर्माता से एंटी-वायरस की उपलब्धता और हस्ताक्षरों की प्रासंगिकता;
- कुछ सेवाओं की गतिविधि;
- कुछ स्थापित कार्यक्रमों की उपलब्धता;

आरंभ करने के लिए, मेरा सुझाव है कि आप निश्चित रूप से परिणामी कार्यान्वयन के वीडियो प्रदर्शन को देखें यूट्यूब (5 मिनट).

अब मैं वीडियो क्लिप में शामिल नहीं किए गए कार्यान्वयन विवरणों पर विचार करने का प्रस्ताव करता हूं।

आइए AnyConnect प्रोफ़ाइल तैयार करें:

मैंने पहले सेटिंग पर अपने लेख में एक प्रोफ़ाइल बनाने का एक उदाहरण (एएसडीएम में मेनू आइटम के संदर्भ में) दिया था वीपीएन लोड-बैलेंसिंग क्लस्टर. अब मैं उन विकल्पों पर अलग से ध्यान देना चाहूंगा जिनकी हमें आवश्यकता होगी:

प्रोफ़ाइल में, हम अंतिम क्लाइंट से कनेक्ट करने के लिए वीपीएन गेटवे और प्रोफ़ाइल नाम इंगित करेंगे:

आइए प्रोफ़ाइल पक्ष से प्रमाणपत्र के स्वचालित जारी करने को कॉन्फ़िगर करें, विशेष रूप से, प्रमाणपत्र मापदंडों को इंगित करें और, विशेष रूप से, फ़ील्ड पर ध्यान दें आद्याक्षर (आई), जहां एक विशिष्ट मान मैन्युअल रूप से दर्ज किया जाता है तुमने किया परीक्षण मशीन (अद्वितीय उपकरण पहचानकर्ता जो सिस्को AnyConnect क्लाइंट द्वारा उत्पन्न होता है)।

यहां मैं एक गीतात्मक विषयांतर करना चाहता हूं, क्योंकि यह आलेख अवधारणा का वर्णन करता है; प्रदर्शन उद्देश्यों के लिए, प्रमाण पत्र जारी करने के लिए यूडीआईडी AnyConnect प्रोफ़ाइल के प्रारंभिक क्षेत्र में दर्ज किया गया है। बेशक, वास्तविक जीवन में, यदि आप ऐसा करते हैं, तो सभी ग्राहकों को इस क्षेत्र में समान यूडीआईडी के साथ एक प्रमाणपत्र प्राप्त होगा और उनके लिए कुछ भी काम नहीं करेगा, क्योंकि उन्हें अपने विशिष्ट पीसी के यूडीआईडी की आवश्यकता है। AnyConnect, दुर्भाग्य से, अभी तक एक पर्यावरण चर के माध्यम से प्रमाणपत्र अनुरोध प्रोफ़ाइल में UDID फ़ील्ड के प्रतिस्थापन को लागू नहीं करता है, जैसा कि यह करता है, उदाहरण के लिए, एक चर के साथ %उपयोगकर्ता%.

यह ध्यान देने योग्य है कि ग्राहक (इस परिदृश्य में) शुरू में ऐसे संरक्षित पीसी के लिए मैन्युअल मोड में दिए गए यूडीआईडी के साथ स्वतंत्र रूप से प्रमाण पत्र जारी करने की योजना बना रहा है, जो उसके लिए कोई समस्या नहीं है। हालाँकि, हममें से अधिकांश के लिए हम स्वचालन चाहते हैं (ठीक है, मेरे लिए यह सच है =))।

और स्वचालन के संदर्भ में मैं यही पेशकश कर सकता हूं। यदि AnyConnect अभी तक UDID को गतिशील रूप से प्रतिस्थापित करके स्वचालित रूप से प्रमाणपत्र जारी करने में सक्षम नहीं है, तो एक और तरीका है जिसके लिए थोड़े रचनात्मक विचार और कुशल हाथों की आवश्यकता होगी - मैं आपको अवधारणा बताऊंगा। सबसे पहले, आइए देखें कि AnyConnect एजेंट द्वारा विभिन्न ऑपरेटिंग सिस्टम पर UDID कैसे जेनरेट किया जाता है:

Windows - DigitalProductID और मशीन SID रजिस्ट्री कुंजी के संयोजन का SHA-256 हैश
OSX — SHA-256 हैश प्लेटफ़ॉर्मUUID
Linux - रूट विभाजन के UUID का SHA-256 हैश।
एप्पल आईओएस — SHA-256 हैश प्लेटफ़ॉर्मUUID
Android - दस्तावेज़ देखें लिंक

तदनुसार, हम अपने कॉर्पोरेट विंडोज ओएस के लिए एक स्क्रिप्ट बनाते हैं, इस स्क्रिप्ट के साथ हम स्थानीय रूप से ज्ञात इनपुट का उपयोग करके यूडीआईडी की गणना करते हैं और इस यूडीआईडी को आवश्यक फ़ील्ड में दर्ज करके प्रमाणपत्र जारी करने के लिए अनुरोध करते हैं, वैसे, आप एक मशीन का उपयोग भी कर सकते हैं एडी द्वारा जारी प्रमाणपत्र (योजना में प्रमाणपत्र का उपयोग करके दोहरा प्रमाणीकरण जोड़कर)। एकाधिक प्रमाणपत्र).

आइए सिस्को एएसए की ओर सेटिंग्स तैयार करें:

आइए आईएसई सीए सर्वर के लिए एक ट्रस्टप्वाइंट बनाएं, यह वह होगा जो ग्राहकों को प्रमाणपत्र जारी करेगा। मैं की-चेन आयात प्रक्रिया पर विचार नहीं करूंगा; एक उदाहरण मेरे सेटअप आलेख में वर्णित है वीपीएन लोड-बैलेंसिंग क्लस्टर.

crypto ca trustpoint ISE-CA
 enrollment terminal
 crl configure

हम प्रमाणीकरण के लिए उपयोग किए जाने वाले प्रमाणपत्र में फ़ील्ड के अनुसार नियमों के आधार पर टनल-ग्रुप द्वारा वितरण को कॉन्फ़िगर करते हैं। पिछले चरण में हमने जो AnyConnect प्रोफ़ाइल बनाई थी, वह भी यहां कॉन्फ़िगर की गई है। कृपया ध्यान दें कि मैं मान का उपयोग कर रहा हूं सिक्योरबैंक-आरए, जारी प्रमाणपत्र वाले उपयोगकर्ताओं को एक सुरंग समूह में स्थानांतरित करने के लिए सिक्योर-बैंक-वीपीएन, कृपया ध्यान दें कि मेरे पास यह फ़ील्ड AnyConnect प्रोफ़ाइल प्रमाणपत्र अनुरोध कॉलम में है।

tunnel-group-map enable rules
!
crypto ca certificate map OU-Map 6
 subject-name attr ou eq securebank-ra
!
webvpn
 anyconnect profiles SECUREBANK disk0:/securebank.xml
 certificate-group-map OU-Map 6 SECURE-BANK-VPN
!

प्रमाणीकरण सर्वर सेट करना. मेरे मामले में, यह प्रमाणीकरण के पहले चरण के लिए आईएसई और एमएफए के रूप में डीयूओ (रेडियस प्रॉक्सी) है।

! CISCO ISE
aaa-server ISE protocol radius
 authorize-only
 interim-accounting-update periodic 24
 dynamic-authorization
aaa-server ISE (inside) host 192.168.99.134
 key *****
!
! DUO RADIUS PROXY
aaa-server DUO protocol radius
aaa-server DUO (inside) host 192.168.99.136
 timeout 60
 key *****
 authentication-port 1812
 accounting-port 1813
 no mschapv2-capable
!

हम समूह नीतियां और सुरंग समूह और उनके सहायक घटक बनाते हैं:

सुरंग समूह डिफ़ॉल्टWEBVPNसमूह मुख्य रूप से AnyConnect VPN क्लाइंट को डाउनलोड करने और ASA के SCEP-प्रॉक्सी फ़ंक्शन का उपयोग करके उपयोगकर्ता प्रमाणपत्र जारी करने के लिए उपयोग किया जाएगा; इसके लिए हमारे पास टनल समूह और संबंधित समूह नीति दोनों पर संबंधित विकल्प सक्रिय हैं। एसी-डाउनलोड, और लोड किए गए AnyConnect प्रोफ़ाइल पर (प्रमाणपत्र जारी करने के लिए फ़ील्ड, आदि)। साथ ही इस समूह नीति में हम डाउनलोड करने की आवश्यकता का संकेत देते हैं आईएसई आसन मॉड्यूल.

सुरंग समूह सिक्योर-बैंक-वीपीएन पिछले चरण में जारी प्रमाणपत्र के साथ प्रमाणीकरण करते समय क्लाइंट द्वारा स्वचालित रूप से उपयोग किया जाएगा, क्योंकि प्रमाणपत्र मानचित्र के अनुसार, कनेक्शन विशेष रूप से इस सुरंग समूह पर पड़ेगा। मैं आपको यहां दिलचस्प विकल्पों के बारे में बताऊंगा:

द्वितीयक-प्रमाणीकरण-सर्वर-समूह DUO # DUO सर्वर (रेडियस प्रॉक्सी) पर द्वितीयक प्रमाणीकरण सेट करें
उपयोक्तानाम-से-प्रमाणपत्रCN # प्राथमिक प्रमाणीकरण के लिए, हम उपयोगकर्ता लॉगिन प्राप्त करने के लिए प्रमाणपत्र के CN फ़ील्ड का उपयोग करते हैं
द्वितीयक-उपयोगकर्ता नाम-से-प्रमाणपत्र I # DUO सर्वर पर द्वितीयक प्रमाणीकरण के लिए, हम निकाले गए उपयोगकर्ता नाम और प्रमाणपत्र के प्रारंभिक (I) फ़ील्ड का उपयोग करते हैं।
पूर्व-भरण-उपयोगकर्ता नाम क्लाइंट # उपयोगकर्ता नाम को बदलने की क्षमता के बिना प्रमाणीकरण विंडो में पहले से भरा हुआ बनाएं
सेकेंडरी-प्री-फिल-यूजरनेम क्लाइंट उपयोग-सामान्य-पासवर्ड पुश को छुपाएं # हम द्वितीयक प्रमाणीकरण डीयूओ के लिए लॉगिन/पासवर्ड इनपुट विंडो छिपाते हैं और पासवर्ड फ़ील्ड के बजाय प्रमाणीकरण का अनुरोध करने के लिए अधिसूचना विधि (एसएमएस/पुश/फोन) - डॉक का उपयोग करते हैं यहां

!
access-list posture-redirect extended permit tcp any host 72.163.1.80 
access-list posture-redirect extended deny ip any any
!
access-list VPN-Filter extended permit ip any any
!
ip local pool vpn-pool 192.168.100.33-192.168.100.63 mask 255.255.255.224
!
group-policy SECURE-BANK-VPN internal
group-policy SECURE-BANK-VPN attributes
 dns-server value 192.168.99.155 192.168.99.130
 vpn-filter value VPN-Filter
 vpn-tunnel-protocol ssl-client 
 split-tunnel-policy tunnelall
 default-domain value ashes.cc
 address-pools value vpn-pool
 webvpn
  anyconnect ssl dtls enable
  anyconnect mtu 1300
  anyconnect keep-installer installed
  anyconnect ssl keepalive 20
  anyconnect ssl rekey time none
  anyconnect ssl rekey method ssl
  anyconnect dpd-interval client 30
  anyconnect dpd-interval gateway 30
  anyconnect ssl compression lzs
  anyconnect dtls compression lzs
  anyconnect modules value iseposture
  anyconnect profiles value SECUREBANK type user
!
group-policy AC-DOWNLOAD internal
group-policy AC-DOWNLOAD attributes
 dns-server value 192.168.99.155 192.168.99.130
 vpn-filter value VPN-Filter
 vpn-tunnel-protocol ssl-client 
 split-tunnel-policy tunnelall
 default-domain value ashes.cc
 address-pools value vpn-pool
 scep-forwarding-url value http://ise.ashes.cc:9090/auth/caservice/pkiclient.exe
 webvpn
  anyconnect ssl dtls enable
  anyconnect mtu 1300
  anyconnect keep-installer installed
  anyconnect ssl keepalive 20
  anyconnect ssl rekey time none
  anyconnect ssl rekey method ssl
  anyconnect dpd-interval client 30
  anyconnect dpd-interval gateway 30
  anyconnect ssl compression lzs
  anyconnect dtls compression lzs
  anyconnect modules value iseposture
  anyconnect profiles value SECUREBANK type user
!
tunnel-group DefaultWEBVPNGroup general-attributes
 address-pool vpn-pool
 authentication-server-group ISE
 accounting-server-group ISE
 default-group-policy AC-DOWNLOAD
 scep-enrollment enable
tunnel-group DefaultWEBVPNGroup webvpn-attributes
 authentication aaa certificate
!
tunnel-group SECURE-BANK-VPN type remote-access
tunnel-group SECURE-BANK-VPN general-attributes
 address-pool vpn-pool
 authentication-server-group ISE
 secondary-authentication-server-group DUO
 accounting-server-group ISE
 default-group-policy SECURE-BANK-VPN
 username-from-certificate CN
 secondary-username-from-certificate I
tunnel-group SECURE-BANK-VPN webvpn-attributes
 authentication aaa certificate
 pre-fill-username client
 secondary-pre-fill-username client hide use-common-password push
 group-alias SECURE-BANK-VPN enable
 dns-group ASHES-DNS
!

आगे हम ISE की ओर बढ़ते हैं:

हम एक स्थानीय उपयोगकर्ता को कॉन्फ़िगर करते हैं (आप AD/LDAP/ODBC आदि का उपयोग कर सकते हैं), सरलता के लिए, मैंने ISE में ही एक स्थानीय उपयोगकर्ता बनाया और उसे फ़ील्ड में असाइन किया विवरण यूडीआईडी पीसी जिससे उसे VPN के माध्यम से लॉग इन करने की अनुमति मिलती है। यदि मैं आईएसई पर स्थानीय प्रमाणीकरण का उपयोग करता हूं, तो मैं केवल एक डिवाइस तक ही सीमित रहूंगा, क्योंकि कई फ़ील्ड नहीं हैं, लेकिन तृतीय-पक्ष प्रमाणीकरण डेटाबेस में मेरे पास ऐसे प्रतिबंध नहीं होंगे।

आइए प्राधिकरण नीति को देखें, इसे चार कनेक्शन चरणों में विभाजित किया गया है:

चरण 1 — AnyConnect एजेंट को डाउनलोड करने और प्रमाणपत्र जारी करने की नीति
चरण 2 - प्राथमिक प्रमाणीकरण नीति लॉगिन (प्रमाणपत्र से)/पासवर्ड + यूडीआईडी सत्यापन के साथ प्रमाणपत्र
चरण 3 - उपयोगकर्ता नाम + राज्य मूल्यांकन के रूप में यूडीआईडी का उपयोग करके सिस्को डीयूओ (एमएफए) के माध्यम से माध्यमिक प्रमाणीकरण
चरण 4 - अंतिम प्राधिकरण राज्य में है:
- आज्ञाकारी;
- यूडीआईडी सत्यापन (प्रमाणपत्र + लॉगिन बाइंडिंग से),
- सिस्को डुओ एमएफए;
- लॉगिन द्वारा प्रमाणीकरण;
- प्रमाणपत्र प्रमाणीकरण;

आइए एक दिलचस्प स्थिति पर नजर डालते हैं UUID_मान्य, ऐसा लगता है कि प्रमाणीकरण करने वाला उपयोगकर्ता वास्तव में फ़ील्ड में संबद्ध अनुमत यूडीआईडी के साथ एक पीसी से आया है Description खाता, स्थितियाँ इस प्रकार दिखती हैं:

चरण 1,2,3 में प्रयुक्त प्राधिकरण प्रोफ़ाइल इस प्रकार है:

आप ISE में क्लाइंट सत्र विवरण देखकर यह जांच सकते हैं कि AnyConnect क्लाइंट से UDID हमारे पास कैसे आता है। विस्तार से हम देखेंगे कि AnyConnect तंत्र के माध्यम से ACIDEX न केवल प्लेटफ़ॉर्म के बारे में जानकारी भेजता है, बल्कि डिवाइस का यूडीआईडी भी भेजता है सिस्को-एवी-जोड़ी:

आइए उपयोगकर्ता और फ़ील्ड को जारी किए गए प्रमाणपत्र पर ध्यान दें आद्याक्षर (आई), जिसका उपयोग सिस्को डीयूओ पर द्वितीयक एमएफए प्रमाणीकरण के लिए लॉगिन के रूप में किया जाता है:

लॉग में डीयूओ रेडियस प्रॉक्सी पक्ष पर हम स्पष्ट रूप से देख सकते हैं कि प्रमाणीकरण अनुरोध कैसे किया जाता है, यह उपयोगकर्ता नाम के रूप में यूडीआईडी का उपयोग करता है:

DUO पोर्टल से हम एक सफल प्रमाणीकरण ईवेंट देखते हैं:

और उपयोगकर्ता गुणों में मैंने इसे सेट कर दिया है ALIAS, जिसका उपयोग मैंने लॉगिन के लिए किया था, बदले में, यह लॉगिन के लिए अनुमत पीसी का यूडीआईडी है:

परिणामस्वरूप हमें मिला:

बहु-कारक उपयोगकर्ता और डिवाइस प्रमाणीकरण;
उपयोगकर्ता के डिवाइस की स्पूफ़िंग से सुरक्षा;
डिवाइस की स्थिति का आकलन करना;
डोमेन मशीन प्रमाणपत्र आदि के साथ नियंत्रण बढ़ाने की संभावना;
स्वचालित रूप से तैनात सुरक्षा मॉड्यूल के साथ व्यापक दूरस्थ कार्यस्थल सुरक्षा;

सिस्को वीपीएन श्रृंखला लेखों के लिंक:

स्रोत: www.habr.com

अत्यधिक सुरक्षित रिमोट एक्सेस की अवधारणा का कार्यान्वयन

एक टिप्पणी जोड़ें उत्तर रद्द