Hesab kilidi və ünvan qadağası: OpenVPN əslində nəyi sayır

Ünvanı bloklamaq və hesabı kilidləmək iki fərqli əks-tədbirdir və onlar əks istiqamətlərdə uğursuz olur. Ünvan qadağası bir mənbəni dayandırır və hədəf hesab başqa yerdən əlçatan qalır; hesab kilidi isə identifikasiyanı hər yerdə dayandırır, istifadəçinin öz noutbuku da daxil olmaqla.

Autentifikasiyanı PAM-a həvalə edən VPN üçün sayğac PAM yığınının çatdığı yerdir, dinləyicinin qeydə aldığı deyil.

İki sayğac, iki fərqli qurban

Sürət məhdudlaşdırıcısı mənbəyə baxır və son vaxtlar ondan neçə cəhd gəldiyini soruşur. Kilid isə identifikasiyaya baxır və həmin hesabın nə qədər uğursuzluq topladığını soruşur. Birincisi xidmətin əlçatanlığını, ikincisi etimad məlumatını qoruyur; biri digərini əvəz etmir.

Buna görə beş uğursuzluqdan sonra IP-ni bloklayırıq ifadəsi etimad məlumatı doldurma hesabatına cavab deyil. Hücumçu mənbələri dəyişir, hər biri az sayda cəhd alır və hesab heç vaxt sayılmır. Əksinə, mənbə nəzarəti olmayan kilid hücumçuya qəsdən uğursuz olaraq hesabı qeyri-müəyyən müddət kiliddə saxlamasına imkan verir.

İki nəzarətin bərpa hekayəsi də fərqlidir. Ünvan qadağası heç kimin düşünməsinə ehtiyac olmayan taymerlə bitir; hesab kilidi isə administrator, sənədləşdirilmiş gözləmə müddəti və ya özünəxidmət sıfırlaması tələb edə bilər.

Sayğacı artıq saxlayan anbarı tapın

Bir şey əlavə etməzdən əvvəl uğursuzluq anbarının artıq olub-olmadığını öyrənin. Yerli Linux hesabı, kataloq xidməti və xarici identifikasiya provayderi hər biri öz sayını saxlayır və onların qarşısına qoyulan PAM modulu birincini genişləndirmək əvəzinə ikincisini yaradır.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

VPN-in həqiqətən adını çəkdiyi xidmət faylını oxuyun və daxiletmə sətirlərini izləyin. Bir çox distributivdə VPN xidməti ümumi faylı daxil edir, yəni tənzimləyəcəyiniz say SSH və yerli girişlərə də aiddir.

Kataloq artıq kilid tətbiq edirsə, faydalı sual PAM söhbətinin bu qərara necə çatdığı və VPN-in bunu necə bildirdiyidir. Üstünə əlavə edilən yerli say kataloqun sayğacına çevrilmir və iki siyasət hesabın nə vaxt açılacağı barədə razılaşmaya bilər.

pam_faillock-un bir deyil, üç çağırış mövqeyi var

Modul bir kopyalanmış sətrin adətən bulanıqlaşdırdığı üç əməliyyatı ayırır: hesabın artıq kilidli olub-olmadığını yoxlamaq, uğursuzluğu qeyd etmək və uğurdan sonra tarixçəni təmizləmək.

Köhnə say modulundan miqrasiyanın adətən səhv etdiyi yer budur. İşləyən pam_tally2 nümunəsindən sətri pam_faillock yığınına köçürmək ad dəyişikliyi deyil; sənədləşdirilmiş quraşdırma fərqlidir və səhv yerdə çağırış uğursuzluqları heç yoxlamadan qeyd edə bilər.

faillock --user alice
faillock --user alice --reset

Yoxlama aləti sayğacın həqiqi olub-olmadığını görməyin ən sürətli yoludur: hesab üzrə qeydə alınmış uğursuzluqları göstərir və onları silə bilər. Nəzarətli uğursuzluq bu çıxışı dəyişmirsə, çağırış mövqeyi səhvdir.

Xüsusi xidmət adı təcrid deyil

VPN-ə öz PAM xidmət faylını vermək nəzərdə tutulan siyasəti görünən edir, amma təsiri məhdudlaşdırmır. Ümumi faylın hər hansı daxiletməsi o faylın etdiklərini gətirir, o cümlədən bütün sistemə aid sayları.

Kilidin yalnız VPN girişini, yoxsa eyni hesabı təsdiqləyən hər xidməti əhatə etdiyini açıq şəkildə qərarlaşdırın. Hər iki cavab müdafiə oluna bilər; uğursuzluq rejimi birini seçdiyinizə inanarkən yığının digərini tətbiq etməsidir.

Sonra xərci nəzərə alın. Kilid hücumçu tərəfindən tetiklənə bilər və əziyyət çəkən istifadəçi hesabın sahibidir. Hədd, gözləmə müddəti və inzibati bərpa yolu siyasətin bir hissəsidir, bərpa hadisə zamanı VPN-in yenidən konfiqurasiyasından asılı olmamalıdır.

Ardıcıllığı qəbul edin, tək imtinanı deyil

Təsdiqlənmiş plan çərçivəsində təyin edilmiş identifikasiyalarla sınaqdan keçirin və tək hadisə deyil, zəncir sınayın: etibarlı hesab təsdiqlənir, qəsdən yanlış parol sayğacı hərəkət etdirir, konfiqurasiya edilmiş kilid qüvvəyə minir və sənədləşdirilmiş bərpa girişi qaytarır.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Uğur davranışını da uğursuzluq qədər diqqətlə yoxlayın. Uğurlu giriş tarixçəni təmizləmirsə, hesab adi səhvlərin yavaş yığılmasından sonra kilidlənəcək. Hər xidmətdən hər şeyi təmizləyirsə, sayğac siyasətin iddia etdiyindən zəifdir.

Nəhayət, qələbə elan etməzdən əvvəl nəzarətsiz müştəriləri dayandırın. Yadda saxlanmış etimad məlumatı arxa planda təkrar cəhd edərək bərpadan dəqiqələr sonra uğursuzluqları yenidən yaradacaq və hesabı yenidən kilidləyəcək. Mənbə əsaslı sürət məhdudlaşdırması əlavə nəzarət kimi qala bilər, lakin hesab siyasəti deyil.