Beperk OpenVPN-aanmeldings tot een groep met 'n PAM-beleid

Hou elke rekening in staat om normaal aan te meld, maar laat slegs een groep die VPN gebruik. PAM kan daardie verskil uitdruk sonder 'n tweede wagwoordstoor, en die OpenVPN-inprop kan na 'n diens gewys word wat net die kontroles bevat wat jy bedoel. Die truuk is om daardie diens te bou sonder om per ongeluk 'n stelselwye stapel te erf.

Die deurloop hier begin by die inprop se diensnaam, bou 'n beleid en toets dan die drie uitkomste wat saak maak: 'n lid, 'n buitestaander met 'n geldige wagwoord en 'n slegte geloofsbrief.

Hoekom 'n aparte PAM-diens

Die auth-pam-inprop neem 'n diensnaam as argument. Daardie naam kies 'n lêer onder /etc/pam.d, en die stapel in daardie lêer is wat tydens 'n VPN-aanmelding loop. As jy dieselfde naam gee as wat 'n stelselwye aanmelding gebruik, erf jy elke beslissing in daardie stapel, insluitend dié wat later om onverwante redes bygevoeg is.

Skep eerder 'n toegewyde diens. Begin by 'n werkende stapel wat reeds teen die beoogde backend verifieer, soos 'n plaaslike wagwoordlêer, SSSD of 'n gidsdiens, en voeg dan die geskiktheidsreël by. Om twee reëls in 'n leë lêer te kopieer is die algemene fout: wagwoordverval, rekeningversluiting en ander kontroles kan in die stapel woon wat jy nie gekopieer het nie.

Om die diens te skei beperk ook die skade. 'n Slegs-VPN-reël in 'n gedeelde stapel kan SSH- of konsooltoegang vir almal weier, wat 'n toegangsverandering in 'n onderbreking omskep.

Die groepsreël skryf

Die geskiktheidskontrole hoort in die rekeningfase, nadat die geloofsbrief geverifieer is. 'n Reël soos account required pam_succeed_if.so user ingroup vpnusers laat verwerking net voortduur wanneer die geverifieerde gebruiker 'n lid van daardie groep is.

Daardie reël is 'n fragment, nie 'n volledige diens nie. Integreer dit waar elke aanvaarde pad dit bereik, en kyk na die beheervlae rondom dit. 'n sufficient- of sprongbeheer vroeër in die stapel kan verwerking beëindig voordat jou reël loop, wat die beperking in 'n voorstel verander.

Moenie use_uid uit gewoonte byvoeg nie. Sonder dit evalueer die module die gebruiker wat verifieer word; daarmee evalueer die module die rekening waaronder die OpenVPN-proses loop, wat gewoonlik root of 'n diensrekening is en dus nie die persoon wat aanmeld nie.

Groepslidmaatskap kom van die stelsel se identiteitsoplossing, nie van 'n naam wat jy herken nie. Vir gidsgebruikers, bevestig dat dieselfde backend groepsnavrae vir daardie gebruiker beantwoord, want 'n plaaslike groep met 'n bekende naam is 'n ander objek as die gidsgroep met dieselfde naam.

Orde- en identiteitslokvalle

Plaas die groepsreël ná die verifikasie-stapel en ná enige kontrole wat steeds moet geld, maar voor of saam met die rekeningkontroles wat jy hou. PAM evalueer modules in lêerorde, en die beheerwaarde op elke reël besluit of 'n fout finaal is.

Pas op vir gedupliseerde stapels. 'n Algemene patroon is 'n insluiting wat reeds 'n rekeningreël bevat, gevolg deur jou eie groepsreël, wat twee besluite lewer waar jy een verwag het. Lees die ingeslote lêer, nie net die een wat jy geredigeer het nie. 'n Vinnige manier om die effektiewe orde te sien is om die lêer van bo na onder te lees en elke beheerwaarde te noteer.

Hou die ander toelatingsvereistes onveranderd. 'n Suksesvolle wagwoord vervang nie sertifikaatkontroles, 'n tweede faktor of magtiging na verbinding nie, en hierdie beleid is nie 'n plaasvervanger vir enige van hulle nie. Dit besluit net of die rekening geskik is om vir VPN-toegang oorweeg te word.

Lede, buitestaanders en slegte wagwoorde toets

Toets drie gevalle voordat jy die beleid as klaar beskou. 'n Lid verbind suksesvol. 'n Geldige rekening buite die groep verifieer sy wagwoord maar word VPN-toegang geweier. 'n Verkeerde wagwoord vir enige van die rekeninge word by die verifikasiestadium verwerp, nie deur die groepsreël nie.

Kyk na die kliëntsigbare fout en die bedienerlog saam, want beide mislukkings kan vir die persoon wat verbind soortgelyk lyk. Die onderskeid maak saak vir ondersteuning: 'n buitestaander met 'n korrekte wagwoord het 'n groepverandering nodig, terwyl 'n verkeerde wagwoord 'n geloofsbriefherstel nodig het.

Hou 'n tweede sessie oop terwyl jy PAM redigeer, en verifieer ook gewone SSH-aanmelding ná die verandering. Die punt van die toegewyde diens is dat stelselaanmelding onaangeraak moet wees, en die enigste manier om dit te weet is om dit te toets.

As iets breek, herstel die vorige dienslêer uit 'n kopie. Die reël wat jy wil hê is eenvoudig om te stel: lidmaatskap maak 'n rekening geskik vir VPN-toegang, en elke ander vereiste kontrole geld steeds.