【天逸出品】【第圩七期】VPN外置CA用户,更加严格的登录管控
  

常鸿 180246人觉得有帮助

{{ttag.title}}
本帖最后由 常鸿 于 2023-6-12 11:10 编辑


技术/方案 首发  盲目自信中



我不知道项目实施中,用外置CA做用户认证的场景多不多

但是外置CA 在做用户管控这边,真的需要下点功夫

如果管控的不到位,拥有ukey的人,可以任意的登录VPN,占用授权不说,万一在因为默认权限的配置问题,或者自身安全环境的问题,导致一系列的安全事件。可谓责任重大



VPN本来就是敏感产品,管控的越严格,风险自然越小

拿咱们的SSL VPN产品为例,以下讲解一下,如何在外置CA的场景下,进行登录人员的可控管理


添加外置CA的步骤先省略一下,这里有两种管控的方法

PLAN A:


创建完成外置CA以后  打开具体的配置界面

这边选择 仅信任导入到本地证书的用户来登录

然后 本地创建用户

进行证书的导入


这种配置,可以实现用户的筛选。不过需要提前把用户的证书拿到手。

这种方法,实际部署起来难度很高,因为很多的CA管理端都不会把证书发到VPN的管理员手里,所以,就没办法通过导入证书的方式来进行用户管控


还好我们还有PLAN B


在拿不到用户证书的前提下,只能是 选择信任该CA签发的所有用户

这样以来,所有拥有这个CA 的证书的用户,都可以进行登录了,这个肯定是要禁止的

这里做个小操作  


选择配置映射规则


创建一个用户组,把默认的映射规则指向这个组


然后再把 这个组给禁用掉

这一顿操作,本来所有人都可以登录,现在变成了 所有人都没办法登录


接下来 重点来了

在其他的用户组里,创建跟key同名的账号,密码随意


然后勾选用户 选择其他操作,再选择 批量指定CA




批量指定CA 以后,接下来,更改用户的登录方式,让账号密码和ukey同时认证



这么一顿操作以后,简单讲一下,如果你只有一个属于这个CA 的key  你登陆时候,默认是登录不上,因为用户组禁用了

但是如果你有使用VPN的权限,管理员给你创建了本地账号密码,那么你就可以 先用账号密码登录,账号密码登录后,再进行key的验证,双因子都通过以后,就可以正常使用VPN了

虽然没试过,这个模式再零信任上应该也通用,但是 零信任 有上线准入策略,要实现同样的这个需求,会轻松很多

打赏鼓励作者,期待更多好文!

打赏
40人已打赏

dhf 发表于 2025-6-5 16:10
  
道路千万条,学习第一条!每天迅速GET新知识!
山东_杨绪旺 发表于 2024-10-18 08:55
  
感谢分享,有助于工作和学习。
guhui 发表于 2024-10-15 09:41
  
感谢分享,学习一下~
何东升 发表于 2024-9-18 14:35
  
感谢分享,有助于工资和学习!
何东升 发表于 2024-9-14 11:54
  
感谢分享,有助于工资和学习!
এ塔铃独语别黄昏এ 发表于 2024-9-1 15:40
  
一起来学习,一起来学习
江南岸别离 发表于 2024-7-5 21:12
  
打卡学习,感谢大佬分享!
江南岸别离 发表于 2024-6-8 10:30
  
感谢分享,学习一下~
guhui 发表于 2024-6-6 09:46
  
每天坚持打卡学习签到!!
发表新帖
热门标签
全部标签>
新版本体验
标准化排查
GIF动图学习
安装部署配置
【 社区to talk】
每日一问
产品连连看
功能体验
纪元平台
2025年技术争霸赛
西北区每日一问
高手请过招
测试报告
用户认证
信服课堂视频
畅聊IT
功能咨询
秒懂零信任
平台使用
山东区技术晨报
北京区每日一练
社区新周刊
声音值千金
答题自测
专家问答
技术笔记
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
日志审计
问题分析处理
流量管理
每日一记
运维工具
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
排障笔记本
产品预警公告
玩转零信任
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
2023技术争霸赛专题
卧龙计划
华北区拉练
天逸直播
以战代练
技术晨报
技术盲盒
文档捉虫
齐鲁TV
华北区交付直播
每周精选
2024年技术争霸赛
场景专题
故障笔记
排障那些事
升级&主动服务
高频问题集锦
POC测试案例
全能先锋系列
安全效果
云化安全能力
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案
工具体验官

本版版主

4
6
0

发帖

粉丝

关注

669
14
36

发帖

粉丝

关注

本版达人