Se un utente VPN può ignorare un host di salto SSH?

Non comporterà una singola complicazione! Utilizza le cose successive nel tuo server:

• OpenLDAP : conserverà le informazioni utente
• goSA : un'interfaccia web fine per utilizzare tutte le operazioni necessarie per amministrare utenti e gruppi in LDAP
• pam-ldap - un autentico autenticatore per PAM standard / interfaccia / libreria

! per il tuo OpenSSH usa il metodo di autenticazione PAM e usa pam-ldap per autenticare usando LDAP. Perché OpenVPN usi una configurazione simile, esistono anche alcune soluzioni pronte all'uso, come questo

E nessuna confusione dovrebbe mai esistere in una tale configurazione: tutto è abbastanza chiaro e ben organizzato in un singolo punto di memoria / auth in LDAP. Se hai bisogno di usare un accesso ppptp come mpd - nessun problema, si integra bene anche in questa configurazione (l'ho fatto io stesso): basta usare un freeradius come modulo back-end di mpd e indirizzare anche il freeradio su LDAP.

If I implement OpenVPN alongside my existing OpenSSH setup, end users would have two methods to gain remote shell access--the SSH key and the OpenVPN TLS key. I am afraid this complicates authentication for my users, increases the attack surface of the network, and increases the difficulty of access auditing and intrusion detection.

La risposta a tutto questo è sì. Ovviamente l'apertura di un altro metodo di accesso a una rete aumenterà la superficie di attacco. La vera domanda è se i benefici sono sufficienti per giustificare il rischio aggiunto. Chiedete se il server VPN è davvero una buona idea, ma in alternativa, se si dispone di un server VPN, è davvero necessario mantenere il server SSH disponibile? Come menzionato in uno dei commenti, la VPN è un metodo più robusto e sicuro per fornire l'accesso alla rete, ma richiede più installazione e manutenzione. Mantenere le cose semplici, o familiari, per i tuoi utenti è sempre un aspetto da considerare, ma la sicurezza dovrebbe generalmente prevalere sulla convenienza.

Sembra che tu abbia a che fare con sviluppatori che dovrebbero essere abbastanza competenti da capire che in genere c'è un po 'di spazio tra sicurezza e convenienza, quindi devi capire dove si trova questo equilibrio per le esigenze specifiche del tuo cliente. Le domande sul riutilizzo delle chiavi e sulla raccolta dei controlli dipendono tutte dalle esigenze del cliente, dalla politica di sicurezza in atto, dal livello di protezione desiderato per le informazioni, dall'architettura e dall'implementazione della rete attuale, ecc ... Riutilizzo di una chiave tra due diversi i sistemi non forniranno il massimo livello di sicurezza e comportano più rischi. Tuttavia, a seconda del livello di protezione necessario, potrebbe fornire una sicurezza ENORM della tua implementazione, senza la configurazione più complessa e costosa di un vero sistema Single Sign-On.