ProHoster > බ්ලොග් > පරිපාලනය > අධි ආරක්ෂිත දුරස්ථ ප්රවේශ සංකල්පය ක්රියාත්මක කිරීම

අධි ආරක්ෂිත දුරස්ථ ප්රවේශ සංකල්පය ක්රියාත්මක කිරීම

සංවිධානයේ මාතෘකාව පිළිබඳ ලිපි මාලාව දිගටම කරගෙන යාම දුරස්ථ ප්රවේශ VPN ප්‍රවේශය මට මගේ රසවත් යෙදවීමේ අත්දැකීම බෙදා නොගැනීමට නොහැක ඉතා ආරක්ෂිත VPN වින්‍යාසය. සුළු නොවන කාර්යයක් එක් පාරිභෝගිකයෙකු විසින් ඉදිරිපත් කරන ලදී (රුසියානු ගම්මානවල නව නිපැයුම්කරුවන් ඇත), නමුත් අභියෝගය පිළිගෙන නිර්මාණශීලීව ක්රියාත්මක කරන ලදී. ප්රතිඵලය පහත සඳහන් ලක්ෂණ සහිත රසවත් සංකල්පයකි:

  1. පර්යන්ත උපාංගයේ ආදේශනයෙන් ආරක්ෂා වීමේ සාධක කිහිපයක් (පරිශීලකයාට දැඩි බැඳීමක් සහිතව);
    • සත්‍යාපන දත්ත ගබඩාවේ අවසර ලත් පරිගණකයේ පවරා ඇති UDID සමඟ පරිශීලකයාගේ පරිගණකයේ අනුකූලතාවය තක්සේරු කිරීම;
    • Cisco DUO හරහා ද්විතියික සත්‍යාපනය සඳහා සහතිකයෙන් PC UDID භාවිතා කරන MFA සමඟ (ඔබට ඕනෑම SAML/Radius ගැළපෙන එකක් ඇමිණිය හැක);
  2. බහු සාධක සත්‍යාපනය:
    • ඒවායින් එකකට එරෙහිව ක්ෂේත්‍ර සත්‍යාපනය සහ ද්විතියික සත්‍යාපනය සහිත පරිශීලක සහතිකය;
    • පුරනය වීම (වෙනස් කළ නොහැකි, සහතිකයෙන් ලබාගත්) සහ මුරපදය;
  3. සම්බන්ධක ධාරකයේ තත්ත්වය ඇස්තමේන්තු කිරීම (ඉරියව්)

භාවිතා කරන විසඳුම් සංරචක:

  • Cisco ASA (VPN Gateway);
  • Cisco ISE (සත්‍යාපනය / බලය පැවරීම / ගිණුම්කරණය, රාජ්‍ය ඇගයීම, CA);
  • Cisco DUO (බහු සාධක සත්‍යාපනය) (ඔබට ඕනෑම SAML/Radius ගැළපෙන එකක් ඇමිණිය හැක);
  • Cisco AnyConnect (වැඩ ස්ථාන සහ ජංගම OS සඳහා බහුකාර්ය නියෝජිතයා);

පාරිභෝගික අවශ්‍යතා සමඟ ආරම්භ කරමු:

  1. පරිශීලකයාට ඔහුගේ පිවිසුම්/මුරපද සත්‍යාපනය හරහා VPN ද්වාරයෙන් AnyConnect සේවාලාභියා බාගත කිරීමට හැකි විය යුතුය; අවශ්‍ය සියලුම AnyConnect මොඩියුල පරිශීලකයාගේ ප්‍රතිපත්තියට අනුකූලව ස්වයංක්‍රීයව ස්ථාපනය කළ යුතුය;
  2. පරිශීලකයාට ස්වයංක්‍රීයව සහතිකයක් නිකුත් කිරීමට හැකි විය යුතුය (එක් අවස්ථාවක් සඳහා, ප්‍රධාන දර්ශනය අතින් නිකුත් කිරීම සහ පරිගණකයකට උඩුගත කිරීම), නමුත් මම නිරූපණය සඳහා ස්වයංක්‍රීය නිකුතුව ක්‍රියාත්මක කළෙමි (එය ඉවත් කිරීමට කිසිදා ප්‍රමාද වැඩි නොවේ).
  3. මූලික සත්‍යාපනය අදියර කිහිපයකින් සිදු විය යුතුය, පළමුව අවශ්‍ය ක්ෂේත්‍ර සහ ඒවායේ අගයන් විශ්ලේෂණය සමඟ සහතික සත්‍යාපනය ඇත, පසුව පුරනය වීම / මුරපදය, මෙවර පමණක් සහතික ක්ෂේත්‍රයේ දක්වා ඇති පරිශීලක නාමය ඇතුල් වීමේ කවුළුවට ඇතුළත් කළ යුතුය. විෂය නම (CN) සංස්කරණය කිරීමේ හැකියාව නොමැතිව.
  4. ඔබ පුරනය වන උපාංගය දුරස්ථ ප්‍රවේශය සඳහා පරිශීලකයාට නිකුත් කරන ලද ආයතනික ලැප්ටොප් පරිගණකය මිස වෙනත් දෙයක් නොවන බවට ඔබ සහතික විය යුතුය. (මෙම අවශ්‍යතාවය සපුරාලීම සඳහා විකල්ප කිහිපයක් ඉදිරිපත් කර ඇත)
  5. සම්බන්ධක උපාංගයේ තත්වය (මෙම අදියරේදී පරිගණකය) පාරිභෝගික අවශ්‍යතා පිළිබඳ සම්පූර්ණ විශාල වගුවක චෙක්පතකින් තක්සේරු කළ යුතුය (සාරාංශගත කිරීම):
    • ලිපිගොනු සහ ඒවායේ ගුණාංග;
    • රෙජිස්ට්රි ඇතුළත් කිරීම්;
    • සපයන ලද ලැයිස්තුවෙන් OS පැච් (පසුව SCCM ඒකාබද්ධ කිරීම);
    • නිශ්චිත නිෂ්පාදකයෙකුගෙන් ප්‍රති-වයිරස ලබා ගැනීම සහ අත්සන්වල අදාළත්වය;
    • ඇතැම් සේවාවන්හි ක්රියාකාරිත්වය;
    • ඇතැම් ස්ථාපිත වැඩසටහන් තිබීම;

ආරම්භ කිරීම සඳහා, ප්‍රති result ලය ක්‍රියාත්මක කිරීම පිළිබඳ වීඩියෝ නිරූපණය අනිවාර්යයෙන්ම බැලීමට මම යෝජනා කරමි Youtube (මිනිත්තු 5).

වීඩියෝ පටයේ ආවරණය කර නොමැති ක්‍රියාත්මක කිරීමේ විස්තර සලකා බැලීමට දැන් මම යෝජනා කරමි.

AnyConnect පැතිකඩ සකස් කරමු:

මම මීට පෙර සැකසුම පිළිබඳ මගේ ලිපියේ පැතිකඩක් (ASDM හි මෙනු අයිතමයක් අනුව) නිර්මාණය කිරීමේ උදාහරණයක් ලබා දුනිමි. VPN ලෝඩ්-බැලන්සින් පොකුර. දැන් මම අපට අවශ්‍ය විකල්ප වෙන වෙනම සටහන් කිරීමට කැමැත්තෙමි:

පැතිකඩෙහි, අපි VPN ද්වාරය සහ අවසාන සේවාදායකයාට සම්බන්ධ කිරීම සඳහා පැතිකඩ නම සඳහන් කරන්නෙමු:

අධි ආරක්ෂිත දුරස්ථ ප්රවේශ සංකල්පය ක්රියාත්මක කිරීම

පැතිකඩ පැත්තෙන් සහතිකයක් ස්වයංක්‍රීයව නිකුත් කිරීම වින්‍යාස කරමු, විශේෂයෙන්, සහතික පරාමිතීන් සහ, ලාක්ෂණිකව, ක්ෂේත්‍රයට අවධානය යොමු කරමින් මුලකුරු (I), නිශ්චිත අගයක් අතින් ඇතුල් කරන තැන UDID පරීක්ෂණ යන්ත්‍රය (Cisco AnyConnect සේවාලාභියා විසින් ජනනය කරන ලද අද්විතීය උපාංග හඳුනාගැනීම).

අධි ආරක්ෂිත දුරස්ථ ප්රවේශ සංකල්පය ක්රියාත්මක කිරීම

මෙම ලිපියේ සංකල්පය විස්තර කරන බැවින්, මෙහි ගීතමය අපගමනය කිරීමට මට අවශ්‍යය; නිරූපණ අරමුණු සඳහා, සහතිකයක් නිකුත් කිරීම සඳහා UDID AnyConnect පැතිකඩෙහි ආරම්භක ක්ෂේත්‍රය තුළ ඇතුළත් කර ඇත. ඇත්ත වශයෙන්ම, සැබෑ ජීවිතයේ දී, ඔබ මෙය කරන්නේ නම්, සියලුම සේවාදායකයින්ට මෙම ක්ෂේත්‍රයේ එකම UDID සහිත සහතිකයක් ලැබෙනු ඇති අතර ඔවුන්ට ඔවුන්ගේ නිශ්චිත පරිගණකයේ UDID අවශ්‍ය බැවින් ඔවුන් වෙනුවෙන් කිසිවක් ක්‍රියා නොකරනු ඇත. AnyConnect, අවාසනාවකට මෙන්, පරිසර විචල්‍යයක් හරහා සහතික ඉල්ලීම් පැතිකඩ වෙත UDID ක්ෂේත්‍රය ආදේශ කිරීම තවමත් ක්‍රියාත්මක කර නැත, උදාහරණයක් ලෙස, විචල්‍යයක් සමඟ %පරිශීලක%.

පාරිභෝගිකයා (මෙම අවස්ථාවෙහිදී) මුලින් එවැනි ආරක්ෂිත පරිගණක සඳහා ලබා දී ඇති UDID සමඟ සහතික ස්වාධීනව නිකුත් කිරීමට සැලසුම් කර ඇති බව සඳහන් කිරීම වටී, එය ඔහුට ගැටළුවක් නොවේ. කෙසේ වෙතත්, අපගෙන් බොහෝ දෙනෙකුට අපට ස්වයංක්‍රීයකරණය අවශ්‍ය වේ (හොඳයි, මට එය සත්‍යයකි =)).

ස්වයංක්‍රීයකරණය සම්බන්ධයෙන් මට ඉදිරිපත් කළ හැක්කේ මෙයයි. AnyConnect හට තවමත් UDID ගතිකව ආදේශ කිරීමෙන් ස්වයංක්‍රීයව සහතිකයක් නිකුත් කිරීමට නොහැකි නම්, කුඩා නිර්මාණාත්මක චින්තනයක් සහ දක්ෂ දෑත් අවශ්‍ය වන තවත් ක්‍රමයක් තිබේ - මම ඔබට සංකල්පය කියන්නම්. පළමුව, AnyConnect නියෝජිතයා විසින් විවිධ මෙහෙයුම් පද්ධති මත UDID ජනනය කරන්නේ කෙසේදැයි බලමු:

  • හි Windows සඳහා - DigitalProductID සහ Machine SID රෙජිස්ට්‍රි යතුරේ සංයෝජනයේ SHA-256 හැෂ්
  • OSX — SHA-256 හැෂ් PlatformUUID
  • ලිනක්ස් — මූල කොටසේ UUID හි SHA-256 හැෂ්.
  • Apple iOS — SHA-256 හැෂ් PlatformUUID
  • ඇන්ඩ්රොයිඩ් - ලේඛනය බලන්න ලින්ක්

ඒ අනුව, අපි අපගේ ආයතනික වින්ඩෝස් මෙහෙයුම් පද්ධතිය සඳහා ස්ක්‍රිප්ට් එකක් නිර්මාණය කරමු, මෙම ස්ක්‍රිප්ට් සමඟ අපි දන්නා යෙදවුම් භාවිතයෙන් යූඩීඅයිඩී දේශීයව ගණනය කර අවශ්‍ය ක්ෂේත්‍රයට මෙම යූඩීඅයිඩී ඇතුළත් කිරීමෙන් සහතිකයක් නිකුත් කිරීම සඳහා ඉල්ලීමක් සාදන්නෙමු, මාර්ගය වන විට, ඔබට යන්ත්‍රයක් ද භාවිතා කළ හැකිය. AD විසින් නිකුත් කරන ලද සහතිකය (යෝජනා ක්‍රමයට සහතිකයක් භාවිතයෙන් ද්විත්ව සත්‍යාපනය එකතු කිරීමෙන් බහු සහතිකය).

අපි Cisco ASA පැත්තේ සිටුවම් සකස් කරමු:

ISE CA සේවාදායකය සඳහා TrustPoint නිර්මාණය කරමු, එය සේවාදායකයින්ට සහතික නිකුත් කරනු ඇත. මම Key-Chain ආයාත ක්‍රියා පටිපාටිය සලකා බලන්නේ නැත; උදාහරණයක් ලෙස සැකසුම පිළිබඳ මගේ ලිපියේ විස්තර කර ඇත VPN ලෝඩ්-බැලන්සින් පොකුර. 

crypto ca trustpoint ISE-CA
 enrollment terminal
 crl configure

සත්‍යාපනය සඳහා භාවිතා කරන සහතිකයේ ඇති ක්ෂේත්‍රවලට අනුකූලව රීති මත පදනම්ව අපි Tunnel-Group මගින් බෙදා හැරීම වින්‍යාස කරමු. පෙර අදියරේදී අප විසින් සාදන ලද AnyConnect පැතිකඩ ද මෙහි වින්‍යාස කර ඇත. මම අගය භාවිතා කරන බව කරුණාවෙන් සලකන්න Securebank-RA, නිකුත් කරන ලද සහතිකයක් සහිත පරිශීලකයන් උමං මාර්ගයක් වෙත මාරු කිරීමට ආරක්ෂිත-බැංකුව-VPN, කරුණාකර මට මෙම ක්ෂේත්‍රය AnyConnect පැතිකඩ සහතික ඉල්ලීම් තීරුවේ ඇති බව සලකන්න.

tunnel-group-map enable rules
!
crypto ca certificate map OU-Map 6
 subject-name attr ou eq securebank-ra
!
webvpn
 anyconnect profiles SECUREBANK disk0:/securebank.xml
 certificate-group-map OU-Map 6 SECURE-BANK-VPN
!

සත්‍යාපන සේවාදායක පිහිටුවීම. මගේ නඩුවේදී, මෙය සත්‍යාපනයේ පළමු අදියර සඳහා ISE වන අතර MFA ලෙස DUO (Radius Proxy) වේ.

! CISCO ISE
aaa-server ISE protocol radius
 authorize-only
 interim-accounting-update periodic 24
 dynamic-authorization
aaa-server ISE (inside) host 192.168.99.134
 key *****
!
! DUO RADIUS PROXY
aaa-server DUO protocol radius
aaa-server DUO (inside) host 192.168.99.136
 timeout 60
 key *****
 authentication-port 1812
 accounting-port 1813
 no mschapv2-capable
!

අපි කණ්ඩායම් ප්‍රතිපත්ති සහ උමං කණ්ඩායම් සහ ඒවායේ සහායක සංරචක සාදන්නෙමු:

උමං කණ්ඩායම DefaultWEBVPNGgroup AnyConnect VPN සේවාලාභියා බාගත කිරීමට සහ ASA හි SCEP-Proxy ශ්‍රිතය භාවිතයෙන් පරිශීලක සහතිකයක් නිකුත් කිරීමට මූලික වශයෙන් භාවිතා කරනු ඇත; මේ සඳහා අපට උමං කණ්ඩායම තුළම සහ ඒ ආශ්‍රිත කණ්ඩායම් ප්‍රතිපත්තිය මත අනුරූප විකල්ප සක්‍රිය කර ඇත. AC-බාගන්න, සහ පටවන ලද AnyConnect පැතිකඩෙහි (සහතිකයක් නිකුත් කිරීම සඳහා ක්ෂේත්‍ර, ආදිය). මෙම කණ්ඩායම් ප්‍රතිපත්තියේ අපි බාගත කිරීමේ අවශ්‍යතාවය ද දක්වන්නෙමු ISE ඉරියව් මොඩියුලය.

උමං කණ්ඩායම ආරක්ෂිත-බැංකුව-VPN පෙර අදියරේදී නිකුත් කරන ලද සහතිකය සමඟ සත්‍යාපනය කිරීමේදී සේවාදායකයා විසින් ස්වයංක්‍රීයව භාවිතා කරනු ඇත, මන්ද, සහතික සිතියමට අනුකූලව, සම්බන්ධතාවය මෙම උමං කණ්ඩායමට විශේෂයෙන් වැටෙනු ඇත. රසවත් විකල්ප ගැන මම ඔබට කියන්නම්:

  • ද්විතියික-සත්‍යාපනය-සේවාදායක-කණ්ඩායම් DUO # DUO සේවාදායකයේ (Radius Proxy) ද්විතියික සත්‍යාපනය සකසන්න
  • පරිශීලක නාමය-සහතිකයෙන්-CN # ප්‍රාථමික සත්‍යාපනය සඳහා, පරිශීලක පිවිසුම උරුම කර ගැනීමට අපි සහතිකයේ CN ක්ෂේත්‍රය භාවිතා කරමු
  • ද්විතියික-පරිශීලක නාමය-සහතිකයෙන් I # DUO සේවාදායකයේ ද්විතියික සත්‍යාපනය සඳහා, අපි උපුටා ගත් පරිශීලක නාමය සහ සහතිකයේ මුලකුරු (I) ක්ෂේත්‍ර භාවිතා කරමු.
  • පෙර-පුර්න-පරිශීලක නාමය සේවාදායකයා # පරිශීලක නාමය වෙනස් කිරීමේ හැකියාවකින් තොරව සත්‍යාපන කවුළුවේ පූර්ව පුරවන්න
  • ද්විතීයික-පෙර-පිරවුම්-පරිශීලක නාම සේවාලාභියා සඟවන්න භාවිත-පොදු-මුරපද තල්ලු # අපි ද්විතියික සත්‍යාපනය DUO සඳහා පිවිසුම්/මුරපද ආදාන කවුළුව සඟවා දැනුම් දීමේ ක්‍රමය (sms/push/phone) භාවිතා කරමු - මුරපද ක්ෂේත්‍රය වෙනුවට සත්‍යාපනය ඉල්ලීමට ඩොක් කරන්න මෙහි

!
access-list posture-redirect extended permit tcp any host 72.163.1.80 
access-list posture-redirect extended deny ip any any
!
access-list VPN-Filter extended permit ip any any
!
ip local pool vpn-pool 192.168.100.33-192.168.100.63 mask 255.255.255.224
!
group-policy SECURE-BANK-VPN internal
group-policy SECURE-BANK-VPN attributes
 dns-server value 192.168.99.155 192.168.99.130
 vpn-filter value VPN-Filter
 vpn-tunnel-protocol ssl-client 
 split-tunnel-policy tunnelall
 default-domain value ashes.cc
 address-pools value vpn-pool
 webvpn
  anyconnect ssl dtls enable
  anyconnect mtu 1300
  anyconnect keep-installer installed
  anyconnect ssl keepalive 20
  anyconnect ssl rekey time none
  anyconnect ssl rekey method ssl
  anyconnect dpd-interval client 30
  anyconnect dpd-interval gateway 30
  anyconnect ssl compression lzs
  anyconnect dtls compression lzs
  anyconnect modules value iseposture
  anyconnect profiles value SECUREBANK type user
!
group-policy AC-DOWNLOAD internal
group-policy AC-DOWNLOAD attributes
 dns-server value 192.168.99.155 192.168.99.130
 vpn-filter value VPN-Filter
 vpn-tunnel-protocol ssl-client 
 split-tunnel-policy tunnelall
 default-domain value ashes.cc
 address-pools value vpn-pool
 scep-forwarding-url value http://ise.ashes.cc:9090/auth/caservice/pkiclient.exe
 webvpn
  anyconnect ssl dtls enable
  anyconnect mtu 1300
  anyconnect keep-installer installed
  anyconnect ssl keepalive 20
  anyconnect ssl rekey time none
  anyconnect ssl rekey method ssl
  anyconnect dpd-interval client 30
  anyconnect dpd-interval gateway 30
  anyconnect ssl compression lzs
  anyconnect dtls compression lzs
  anyconnect modules value iseposture
  anyconnect profiles value SECUREBANK type user
!
tunnel-group DefaultWEBVPNGroup general-attributes
 address-pool vpn-pool
 authentication-server-group ISE
 accounting-server-group ISE
 default-group-policy AC-DOWNLOAD
 scep-enrollment enable
tunnel-group DefaultWEBVPNGroup webvpn-attributes
 authentication aaa certificate
!
tunnel-group SECURE-BANK-VPN type remote-access
tunnel-group SECURE-BANK-VPN general-attributes
 address-pool vpn-pool
 authentication-server-group ISE
 secondary-authentication-server-group DUO
 accounting-server-group ISE
 default-group-policy SECURE-BANK-VPN
 username-from-certificate CN
 secondary-username-from-certificate I
tunnel-group SECURE-BANK-VPN webvpn-attributes
 authentication aaa certificate
 pre-fill-username client
 secondary-pre-fill-username client hide use-common-password push
 group-alias SECURE-BANK-VPN enable
 dns-group ASHES-DNS
!

ඊළඟට අපි ISE වෙත යන්නෙමු:

අපි දේශීය පරිශීලකයෙකු වින්‍යාස කරන්නෙමු (ඔබට AD/LDAP/ODBC ආදිය භාවිතා කළ හැක), සරල බව සඳහා, මම ISE තුළම දේශීය පරිශීලකයෙකු සාදා එය ක්ෂේත්‍රයට පැවරුවෙමි. විස්තර UDID PC එයින් ඔහුට VPN හරහා ලොග් වීමට අවසර ඇත. මම ISE මත දේශීය සත්‍යාපනය භාවිතා කරන්නේ නම්, බොහෝ ක්ෂේත්‍ර නොමැති බැවින්, මම එක් උපාංගයකට පමණක් සීමා වනු ඇත, නමුත් තෙවන පාර්ශවීය සත්‍යාපන දත්ත සමුදායන්හි මට එවැනි සීමාවන් නොමැත.

අධි ආරක්ෂිත දුරස්ථ ප්රවේශ සංකල්පය ක්රියාත්මක කිරීම

අවසර ප්‍රතිපත්තිය දෙස බලමු, එය සම්බන්ධතා අදියර හතරකට බෙදා ඇත:

  • අදියර 1 - AnyConnect නියෝජිතයා බාගත කිරීම සහ සහතිකයක් නිකුත් කිරීම සඳහා වන ප්‍රතිපත්තිය
  • අදියර 2 — ප්‍රාථමික සත්‍යාපන ප්‍රතිපත්තිය ලොගින් (සහතිකයෙන්)/මුරපදය + UDID වලංගුකරණය සහිත සහතිකය
  • අදියර 3 — UDID පරිශීලක නාමය ලෙස භාවිතා කරමින් Cisco DUO (MFA) හරහා ද්විතීයික සත්‍යාපනය + රාජ්‍ය තක්සේරුව
  • අදියර 4 - අවසාන අවසරය ප්‍රාන්තයේ ඇත:
    • අනුකූල;
    • UDID වලංගුකරණය (සහතිකය + පිවිසුම් බැඳීමෙන්),
    • Cisco DUO MFA;
    • පුරනය වීමෙන් සත්යාපනය;
    • සහතික සත්යාපනය;

අධි ආරක්ෂිත දුරස්ථ ප්රවේශ සංකල්පය ක්රියාත්මක කිරීම

අපි සිත්ගන්නා තත්වයක් දෙස බලමු UUID_VALIDATED, එය පෙනෙන්නේ සත්‍යාපනය කරන පරිශීලකයා ඇත්ත වශයෙන්ම ක්ෂේත්‍රයට සම්බන්ධ අවසර ලත් UDID සහිත පරිගණකයකින් පැමිණි බවයි. විස්තර ගිණුම, කොන්දේසි මේ වගේ ය:

අධි ආරක්ෂිත දුරස්ථ ප්රවේශ සංකල්පය ක්රියාත්මක කිරීම

1,2,3 අදියරේදී භාවිතා වන අවසර පැතිකඩ පහත පරිදි වේ:

අධි ආරක්ෂිත දුරස්ථ ප්රවේශ සංකල්පය ක්රියාත්මක කිරීම

ISE හි සේවාදායක සැසි විස්තර බැලීමෙන් AnyConnect සේවාලාභියාගේ UDID අප වෙත පැමිණෙන්නේ කෙසේදැයි ඔබට හරියටම පරීක්ෂා කළ හැක. සවිස්තරාත්මකව අපි යාන්ත්රණය හරහා AnyConnect බව දකිමු ACIDEX වේදිකාව පිළිබඳ තොරතුරු පමණක් නොව, උපාංගයේ UDID ලෙස යවයි Cisco-AV-PAIR:

අධි ආරක්ෂිත දුරස්ථ ප්රවේශ සංකල්පය ක්රියාත්මක කිරීම

පරිශීලකයාට සහ ක්ෂේත්‍රයට නිකුත් කරන ලද සහතිකය කෙරෙහි අවධානය යොමු කරමු මුලකුරු (I), එය Cisco DUO හි ද්විතියික MFA සත්‍යාපනය සඳහා පිවිසුමක් ලෙස ගැනීමට භාවිතා කරයි:

අධි ආරක්ෂිත දුරස්ථ ප්රවේශ සංකල්පය ක්රියාත්මක කිරීම

ලොගයේ DUO රේඩියස් ප්‍රොක්සි පැත්තෙන් අපට සත්‍යාපන ඉල්ලීම සිදු කරන ආකාරය පැහැදිලිව දැකගත හැකිය, එය යූඩීඅයිඩී පරිශීලක නාමය ලෙස භාවිතා කරයි:

අධි ආරක්ෂිත දුරස්ථ ප්රවේශ සංකල්පය ක්රියාත්මක කිරීම

DUO ද්වාරයෙන් අපි සාර්ථක සත්‍යාපන සිදුවීමක් දකිමු:

අධි ආරක්ෂිත දුරස්ථ ප්රවේශ සංකල්පය ක්රියාත්මක කිරීම

ඒවගේම user properties වල මම ඒක සෙට් කරලා තියෙනවා අලියාස්, මම ලොග් වීම සඳහා භාවිතා කළ, අනෙක් අතට, මෙය පුරනය වීමට අවසර දී ඇති පරිගණකයේ UDID වේ:

අධි ආරක්ෂිත දුරස්ථ ප්රවේශ සංකල්පය ක්රියාත්මක කිරීම

ප්රතිඵලයක් වශයෙන් අපට ලැබුණේ:

  • බහු සාධක පරිශීලක සහ උපාංග සත්‍යාපනය;
  • පරිශීලකයාගේ උපාංගය වංචා කිරීමෙන් ආරක්ෂා වීම;
  • උපාංගයේ තත්ත්වය තක්සේරු කිරීම;
  • වසම් යන්ත්‍ර සහතිකය ආදිය සමඟ පාලනය වැඩි කිරීමේ හැකියාව;
  • ස්වයංක්‍රීයව යොදවා ඇති ආරක්ෂක මොඩියුල සමඟ විස්තීර්ණ දුරස්ථ සේවා ස්ථාන ආරක්ෂාව;

Cisco VPN මාලාවේ ලිපි වෙත සබැඳි:

මූලාශ්රය: www.habr.com

අදහස් එක් කරන්න