Управление доступом на сервере Access Server

Управление доступом является важным инструментом безопасности, используемым для предоставления доступа пользователям или группам к необходимым для работы сервисам и инструментам. Оно также ограничивает доступ к другим сервисам и инструментам, сохраняя их доступными только для определенных пользователей.

Уровни и закономерности управления доступом

Access Server — это программное обеспечение, разработанное компанией OpenVPN, которое позволяет настраивать и управлять доступом к сети через ВПН. Access Server обеспечивает доступ к вашей сети в зашифрованном виде через незащищенный интернет, и позволяет точно определить, какой пользователь может получить доступ к каким ресурсам.

Управление доступом в Access Server работает на трех уровнях:

• Глобальный уровень - общий доступ для всех пользователей ВПН.
• Групповой уровень - доступ для определенных групп пользователей.
• Уровень пользователя - индивидуальный доступ для конкретного пользователя.

Предположим, требуется предоставить доступ, как в таком сценарии:

• Всем пользователям ВПН нужен доступ к серверам печати. Предоставляем глобальный доступ к серверу печати с веб-адресом 10.0.0.1.
• Только веб-команда должна иметь доступ к серверу разработки. Предоставляем доступ группе разработчиков к серверу разработки с IP 10.0.0.2.
• Только один член команды эксплуатации нуждается в доступе к производственному серверу. Предоставляем ему индивидуальный доступ к производственному серверу 10.0.0.3.

Для реализации такого сценария потребуется несколько серверов, каждый из которых будет выполнять свою специфическую функцию и иметь уникальный IP-адрес.

Правила управления доступом на сервере Access Server можно представить следующими пунктами:

• Пользователь может принадлежать к одной группе или не принадлежать ни к одной (в таком случае у него есть право доступа глобального уровня).
• Если пользователь принадлежит к двум группам, его права доступа формируются на основе объединения доступов от обеих групп и глобального уровня. Это означает, что пользователь наследует доступы, предоставленные каждой из групп, к которым он принадлежит, а также доступы, предоставленные на глобальном уровне.
• Пользователь может иметь дополнительный доступ, определенный для его учетной записи.
• Каждая группа пользователей автоматически получает права доступа, которые определены на глобальном уровне для всех пользователей сети.
• Группа может иметь дополнительный доступ, определенный для группы.
• Глобальный доступ распространяется на все группы и пользователей.

Виды доступа и их настройка

Настройка глобального доступа предполагает следующие шаги для предоставления доступа всем пользователям ВПН к конкретному ресурсу на основе подсети:

• Войти в Admin Web UI.
• Перейти в Конфигурация. Настройки ВПН.
• В разделе Маршрутизация включить доступ, установив Да, с использованием NAT. NAT — это технология, которая позволяет изменять IP-адреса в заголовках сетевых пакетов, когда они проходят через маршрутизатор или брандмауэр. Использование NAT позволяет нескольким устройствам в локальной сети использовать один и тот же публичный IP-адрес для доступа к внешней сети. Это необходимо для обеспечения правильного маршрута передачи данных и маскировки внутренних IP-адресов.
• Для частных подсетей ввести подсеть для ресурса (например, для сервера печати ввести "10.0.0.1/32").

Настройка группового доступа подразумевает следующие шаги:

• Войти в Admin Web UI.
• Перейти в Управление пользователями > Разрешения группы.
• Для группы, которой необходимо предоставить доступ, нажать Дополнительные настройки.
• В разделе Управление доступом установить Использовать управление доступом в положение Да.
• Настроить доступ к сетям и сервисам, группам и пользователям.

Шаги для настройки доступа к сетям и сервисам:

• Нажать Дополнительные настройки для группы, которой предоставляются привилегии доступа.
• Установить флажок Использовать управление доступом в Да.
• В разделе Разрешить доступ ввести подсети в формате сеть/битность или сервисы в формате сеть/битность:сервисы.
• Нажать Сохранить настройки и Обновить работающий сервер.

По умолчанию группы изолированы друг от друга и от пользователей внутри группы. Для предоставления доступа к группам можно выполнить следующие шаги:

• Нажать Дополнительные настройки для группы.
• Установить Использовать управление доступом в Да.
• В разделе Разрешить доступ к выбрать имя группы из списка.
• Нажать Сохранить настройки и Обновить работающий сервер.

Алгоритм для предоставления группового доступа к определенным пользователям:

• Нажать Дополнительные настройки для группы.
• Установить Использовать управление доступом в Да.
• В разделе Разрешить доступ к выбрать пользователя из списка.
• Нажать Сохранить настройки и Обновить работающий сервер.

Шаги для предоставления доступа определенному пользователю к ресурсу на основе подсети:

• Войти в Admin Web UI.
• Перейти в Управление пользователями. Разрешения пользователя.
• Для пользователя, которому необходимо предоставить доступ, нажать Дополнительные настройки.
• В разделе Управление доступом выбрать Использовать NAT для метода адресации.
• В разделе Разрешить доступ к этим сетям ввести подсеть для ресурса (например, для производственного сервера ввести "10.0.0.3/32").

Если необходимо удаление всех глобальных правил управления доступом:

• Войти в Admin Web UI.
• Перейти в Конфигурация. Настройки ВПН.
• В разделе Маршрутизация установить первый параметр в Нет.

Правильная настройка управления доступом на сервере Access Server обеспечивает безопасность и контроль над доступом к различным ресурсам. Это позволяет разделить доступ между различными пользователями и группами, ограничивая его только необходимыми ресурсами.

Личный ВПН-сервер: эффективный инструмент управления доступом

Использование личного ВПН-сервера позволяет гибко управлять доступом к ресурсам, что особенно актуально в корпоративной среде. Личный ВПН-сервер может быть настроен таким образом, чтобы соответствовать всем вышеописанным принципам и правилам управления доступом, обеспечивая дополнительный уровень безопасности и контроля.

Взять в аренду или купить на выгодных условиях личный ВПН-сервер можно на сайте VPN.how.