Zaključavanje računa nasuprot zabrani adrese: gdje OpenVPN zaista broji

Blokiranje adrese i zaključavanje računa su dva različita mehanizma i padaju u suprotnim smjerovima. Zabrana adrese zaustavlja jedan izvor i ostavlja ciljni račun dostupnim s drugog mjesta; zaključavanje zaustavlja taj identitet svuda, uključujući i korisnikov vlastiti laptop.

Za VPN koji provjeru identiteta prepušta PAM-u, brojač je ono do čega PAM stog stigne, a ne ono što je poslužitelj zabilježio.

Dva brojača, dvije različite žrtve

Ograničavač brzine gleda izvor i pita koliko je pokušaja nedavno došlo s njega. Zaključavanje gleda identitet i pita koliko je neuspjeha račun nakupio. Prvo štiti dostupnost, drugo vjerodajnice; jedno ne zamjenjuje drugo.

Zato rečenica blokiramo IP nakon pet neuspjeha nije odgovor na izvještaj o punjenju vjerodajnica. Napadač mijenja izvore, svaki dobije malo pokušaja, a račun se nikad ne broji. Obrnuto, zaključavanje bez kontrole izvora dopušta napadaču da drži račun zaključanim neograničeno, namjerno padajući.

Dvije mjere imaju i različite priče oporavka. Zabrana adrese istječe po tajmeru o kojem nitko ne mora razmišljati; zaključavanje može zahtijevati administratora, dokumentirano vrijeme čekanja ili samostalno poništavanje.

Pronađite skladište koje već drži broj

Prije nego što bilo šta dodate, provjerite postoji li već skladište neuspjeha. Lokalni Linux račun, usluga imenika i vanjski davatelj identiteta drže vlastiti broj, a PAM modul ispred njih stvara drugi umjesto da proširi prvi.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Pročitajte servisnu datoteku koju VPN zaista navodi i slijedite njene linije uključivanja. U mnogim distribucijama VPN usluga uključuje zajedničku datoteku, što znači da se broj koji podešavate primjenjuje i na SSH i na lokalne prijave.

Ako imenik već primjenjuje zaključavanje, korisno pitanje je kako PAM razgovor dolazi do te odluke i kako ga VPN prijavljuje. Lokalni broj povrh toga ne postaje imenikov brojač, a dvije politike mogu se ne slagati o tome kada se račun otključava.

pam_faillock ima tri mjesta poziva, ne jedno

Modul razdvaja tri radnje koje jedna kopirana linija obično zamagli: provjeru je li račun već zaključan, bilježenje neuspjeha i brisanje historije nakon uspjeha.

Tu migracija sa starijeg modula za brojanje obično griješi. Kopiranje linije iz radnog primjera pam_tally2 u stog pam_faillock nije preimenovanje; dokumentirano postavljanje je drukčije, a poziv na pogrešnom mjestu može bilježiti neuspjehe bez ikakve provjere.

faillock --user alice
faillock --user alice --reset

Alat za pregled najbrži je način da vidite je li brojač stvaran: prikazuje zabilježene neuspjehe za račun i može ih obrisati. Ako kontrolirani neuspjeh ne promijeni taj izlaz, mjesto poziva je pogrešno.

Posvećeno ime usluge nije izolacija

Vlastita PAM servisna datoteka za VPN čini namjeravanu politiku vidljivom, ali ne ograničava učinak. Svako uključivanje zajedničke datoteke uvlači ono što ta datoteka radi, uključujući brojače za cijeli sistem.

Jasno odlučite pokriva li zaključavanje samo VPN pristup ili svaku uslugu koja potvrđuje isti račun. Oba odgovora su održiva; kvar je vjerovati da ste odabrali jedno dok stog provodi drugo.

Zatim uzmite u obzir cijenu. Zaključavanje može potaknuti napadač, a korisnik koji trpi je vlasnik računa. Prag, vrijeme čekanja i administrativni put oporavka dio su politike, a oporavak ne smije zavisiti od ponovnog podešavanja VPN-a tokom incidenta.

Prihvatite slijed, a ne jedno odbijanje

Testirajte označenim identitetima po odobrenom planu i testirajte lanac, a ne jedan događaj: valjan račun se potvrđuje, namjerno pogrešna lozinka pomiče brojač, podešeno zaključavanje stupa na snagu, a dokumentirani oporavak vraća pristup.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Ponašanje pri uspjehu provjerite jednako pažljivo kao pri neuspjehu. Ako uspješna prijava ne briše historiju, račun će se zaključati nakon sporog nakupljanja običnih grešaka. Ako briše sve iz svake usluge, brojač je slabiji nego što politika tvrdi.

Na kraju zaustavite klijente bez nadzora prije nego proglasite pobjedu. Sačuvane vjerodajnice koje ponavljaju pokušaje u pozadini ponovo stvaraju neuspjehe nekoliko minuta nakon oporavka i ponovo zaključavaju račun. Ograničavanje brzine po izvoru može ostati kao dodatna mjera, ali nije politika računa.