OpenVPN girişlərini PAM siyasəti ilə bir qrupla məhdudlaşdırın

Hər hesabın normal şəkildə daxil ola bilməsinə imkan verin, lakin VPN-dən yalnız bir qrup istifadə etsin. PAM bu fərqi ikinci parol anbarı olmadan ifadə edə bilər və OpenVPN plagini yalnız nəzərdə tutduğunuz yoxlamaları ehtiva edən xidmətə yönəldilə bilər. Hiylə həmin xidməti təsadüfən sistem daxili yığımı miras almadan qurmaqdır.

Burada gəzinti plaginin xidmət adından başlayır, siyasət qurur və sonra əhəmiyyətli üç nəticəni sınayır: üzv, etibarlı parolu olan kənar şəxs və pis etimad məlumatı.

Niyə ayrı PAM xidməti

auth-pam plagini arqument kimi xidmət adı alır. Bu ad /etc/pam.d altındakı faylı seçir və həmin fayldakı yığım VPN girişi zamanı işləyən şeydir. Sistem daxili girişin istifadə etdiyi eyni adı versəniz, həmin yığımdakı hər qərarı, o cümlədən sonradan əlaqəsiz səbəblərlə əlavə edilənləri miras alırsınız.

Əvəzində ayrılmış xidmət yaradın. Artıq nəzərdə tutulan backendə qarşı autentifikasiya edən işlək yığımdan başlayın, məsələn yerli parol faylı, SSSD və ya kataloq xidməti, sonra uyğunluq qaydasını əlavə edin. Boş fayla iki sətir köçürmək geniş yayılmış səhvdir: parolun bitmə müddəti, hesabın kilidlənməsi və digər yoxlamalar köçürmədiyiniz yığımda ola bilər.

Xidmətin ayrılması təsir dairəsini də məhdudlaşdırır. Ümumi yığımdakı yalnız VPN üçün qayda hər kəs üçün SSH və ya konsol girişini qadağan edə bilər və bu, giriş dəyişikliyini nasazlığa çevirir.

Qrup qaydasını yazmaq

Uyğunluq yoxlaması etimad məlumatı təsdiqləndikdən sonra hesab mərhələsinə aiddir. account required pam_succeed_if.so user ingroup vpnusers kimi qayda emalın davam etməsinə yalnız autentifikasiya olunmuş istifadəçi həmin qrupun üzvü olduqda imkan verir.

Bu sətir fraqmentdir, tam xidmət deyil. Onu hər qəbul edilən yolun çatdığı yerə inteqrasiya edin və ətrafındakı nəzarət bayraqlarını yoxlayın. Yığımın əvvəlindəki sufficient və ya keçid nəzarəti qaydanız işləməzdən əvvəl emalı bitirə bilər və bu, məhdudiyyəti təklifə çevirir.

Vərdişə görə use_uid əlavə etməyin. O olmadan modul autentifikasiya olunan istifadəçini qiymətləndirir; onunla modul OpenVPN prosesinin işlədiyi hesabı qiymətləndirir, bu da adətən root və ya xidmət hesabıdır və beləliklə daxil olan şəxs deyil.

Qrup üzvlüyü sistemin kimlik həllindən gəlir, tanıdığınız addan deyil. Kataloq istifadəçiləri üçün eyni backendin həmin istifadəçi üçün qrup sorğularına cavab verdiyini təsdiqləyin, çünki tanış adlı yerli qrup eyni adlı kataloq qrupundan fərqli obyektdir.

Sıra və kimlik tələləri

Qrup qaydasını autentifikasiya yığımından və hələ də qüvvədə qalmalı olan hər yoxlamadan sonra, lakin saxladığınız hesab yoxlamalarından əvvəl və ya onların yanında yerləşdirin. PAM modulları fayl sırası ilə qiymətləndirir və hər sətirdəki nəzarət dəyəri uğursuzluğun son olub-olmadığını müəyyən edir.

Təkrarlanan yığımlara diqqət edin. Ümumi nümunə hesab qaydası artıq olan daxiletmə, ardınca öz qrup qaydanızdır və bu, bir qərar gözlədiyiniz yerdə iki qərar yaradır. Yalnız redaktə etdiyiniz faylı deyil, daxil edilmiş faylı da oxuyun. Effektiv sıranı görməyin sürətli yolu faylı yuxarıdan aşağı oxuyub hər nəzarət dəyərini qeyd etməkdir.

Digər qəbul tələblərini toxunulmaz saxlayın. Uğurlu parol sertifikat yoxlamalarını, ikinci amili və ya bağlantıdan sonrakı avtorizasiyanı əvəz etmir və bu siyasət onların heç birinin əvəzi deyil. O yalnız hesabın VPN girişi üçün nəzərdən keçirilməyə uyğun olub-olmadığını müəyyən edir.

Üzvləri, kənar şəxsləri və səhv parolları sınamaq

Siyasəti bitmiş hesab etməzdən əvvəl üç halı sınayın. Üzv uğurla qoşulur. Qrupdan kənar etibarlı hesab parolunu autentifikasiya edir, lakin VPN girişi rədd edilir. Hər iki hesab üçün səhv parol qrup qaydası ilə deyil, autentifikasiya mərhələsində rədd edilir.

Müştəriyə görünən xətanı və server jurnalını birlikdə nəzərdən keçirin, çünki hər iki uğursuzluq qoşulan şəxs üçün oxşar görünə bilər. Fərq dəstək üçün vacibdir: düzgün parolu olan kənar şəxsə qrup dəyişikliyi lazımdır, səhv parol isə etimad məlumatının sıfırlanmasını tələb edir.

PAM-ı redaktə edərkən ikinci sessiyanı açıq saxlayın və dəyişiklikdən sonra adi SSH girişini də yoxlayın. Ayrılmış xidmətin mənası sistem girişinin təsirlənməməsidir və bunu bilməyin yeganə yolu onu sınamaqdır.

Bir şey pozularsa, əvvəlki xidmət faylını nüsxədən bərpa edin. İstədiyiniz qayda sadədir: üzvlük hesabı VPN girişi üçün uyğun edir və hər digər tələb olunan yoxlama qüvvədə qalır.