PAM-module is onbekend: watter proses het werklik gefaal

Lees daardie frase as 'n stelling oor 'n gedeelde objek en 'n funksieaanwyser, nie oor 'n wagwoord nie. Dieselfde woorde kan kom van 'n OpenVPN inprop, van 'n PAM-stapel wat vir een diens gelaai is, of van binne die RADIUS-daemon, en dit is drie verskillende ondersoeke. Kies eerste die proses.

Die kontroles hieronder aanvaar dat die boodskap deur 'n Linux-PAM-integrasie by 'n VPN-aanmelding na vore gekom het. As dit uit die RADIUS-bediener se eie konfigurasie gekom het, is daardie daemon se bewyse die plek om te begin.

Noem die proses voordat jy die pakket noem

Drie komponente word 'n module genoem en nie een van hulle is uitruilbaar nie. 'n OpenVPN-verifikasie-inprop word deur die VPN-daemon gelaai en implementeer daardie daemon se terugroepkoppelvlak. 'n PAM-module is 'n gedeelde objek wat deur libpam vir 'n genoemde diens gelaai word, en implementeer intreepunte soos pam_sm_authenticate. 'n FreeRADIUS-module is 'n stuk van daardie daemon se eie konfigurasie. 'n Boodskap met dieselfde woorde kan van enige van die drie kom, so die eerste vraag is watter logreel dit opgelewer het.

Korreleer die tydstempel van een mislukte poging oor die VPN-log en die stelsel-verifikasielog, en lees dan die reels voor die opsomming. Die spesifieke laaier-boodskap is gewoonlik al daar.

Lees die laaifout, dan die intreepunt

PAM rapporteer 'n onbekende module wanneer dit nie die gekose gedeelde objek kan laai nie, of wanneer die gelaaide objek nie die funksie verskaf wat daardie stapelinskrywing vereis nie. Dit is verskillende herstellings: die eerste is 'n pad-, verpakkings- of ABI-probleem, en die tweede is 'n verkeerde intreepunt. 'n Auth-reel benodig pam_sm_authenticate terwyl 'n rekeningreel pam_sm_acct_mgmt, en 'n biblioteek wat net een van hulle implementeer sal die ander een faal, soos die verspreiderkode wys. Om die leêr op die skyf te vind bewys nie een van die twee nie.

'n Biblioteek met 'n soortgelyke naam uit 'n ander verspreiding of CPU-argitektuur te neem is nie 'n herstelling nie, en dit kan 'n proses laat voortgaan met 'n module wat nooit teen sy libpam getoets is nie. Kontroleer die pakket wat die beoogde pad besit en die leêr se werklike argitektuur voordat jy iets verander.

Behou die waarborge wat die stapel gegee het

Die vinnigste manier om hierdie fout stil te maak is ook die slegste: merk 'n vereiste module as opsioneel, verwyder die rekeningfase, of voeg 'n onvoorwaardelike toestemming in. Elkeen van dié verander 'n mislukte kontrole in 'n afwesige kontrole, en die aanmelding slaag dan om redes wat niemand bedoel het nie. Wagwoordherstellings en veranderinge aan gedeelde geheime voorsien ook nie 'n ontbrekende funksie nie, want die fout gebeur voordat enige geloofsbrief 'n agterkant bereik.

'n Multi-module-stapel kon voor die foutiewe inskrywing 'n ander agterkant gebruik het, so die fout bewys nie dat geen RADIUS-navraag gestuur is nie.

Verifieer die aanmelding eerder as die module

Sodra die wanverhouding reggestel is, toets die werklike toelatingspad. 'n Geldige rekening behoort te slaag, ongeldige geloofsbriewe behoort steeds te faal, en 'n verbode rekening behoort steeds geweier te word. Bevestig ook dat enige sertifikaat- of bykomende faktor-vereiste steeds afgedwing word, want 'n herstelde stapel wat 'n fase oorslaan, lyk van die kliënt se kant soos sukses.

'n Module wat skoon laai is vordering, nie 'n afgehandelde toets nie.

Teken aan watter diensnaam, watter beleidleêrs en watter intreepunte betrokke was, saam met die enkele poging wat jy as bewys gebruik het. Daardie aantekening is wat die volgende keer 'n opsoek maak in plaas van 'n argeologiese oefening.