El mòdul PAM és desconegut: quin procés ha fallat realment

Llegiu aquesta frase com una afirmació sobre un objecte compartit i un punter a funció, no sobre una contrasenya. Les mateixes paraules poden venir d'un OpenVPN connector, d'una pila PAM carregada per a un servei o de dins del dimoni RADIUS, i són tres investigacions diferents. Primer trieu el procés.

Les comprovacions següents assumeixen que el missatge ha aparegut mitjançant una integració de Linux-PAM en un inici de sessió VPN. Si ha vingut de la configuració pròpia del servidor RADIUS, cal començar per l'evidència d'aquest dimoni.

Anomeneu el procés abans d'anomenar el paquet

Tres components s'anomenen mòdul i cap d'ells no és intercanviable. El connector d'autenticació OpenVPN el carrega el dimoni VPN i implementa la interfície de retorn d'aquest dimoni. Un mòdul PAM és un objecte compartit que libpam carrega per a un servei anomenat, i que implementa punts d'entrada com ara pam_sm_authenticate. Un mòdul de FreeRADIUS és una peça de la configuració pròpia d'aquest dimoni. Un missatge amb les mateixes paraules pot venir de qualsevol dels tres, així que la primera pregunta és quina línia de registre l'ha produït.

Correlacioneu la marca de temps d'un intent fallit entre el registre VPN i el registre d'autenticació del sistema, i després llegiu les línies anteriors al resum. El missatge concret del carregador normalment ja hi és.

Llegiu l'error de càrrega, després el punt d'entrada

PAM informa d'un mòdul desconegut quan no pot carregar l'objecte compartit seleccionat o quan l'objecte carregat no proporciona la funció que requereix aquesta entrada de la pila. Són reparacions diferents: la primera és un problema de camí, empaquetatge o ABI, i la segona és un punt d'entrada que no coincideix. Una línia d'autenticació necessita pam_sm_authenticate mentre que una línia de compte necessita pam_sm_acct_mgmt, i una biblioteca que només n'implementa un fallarà en l'altre, com codi del despatxador mostra. Trobar el fitxer al disc no demostra cap de les dues coses.

Agafar una biblioteca amb un nom semblant d'una altra distribució o arquitectura de CPU no és una reparació, i pot deixar un procés carregant un mòdul que mai s'ha provat contra la seva libpam. Comproveu el paquet que posseeix el camí previst i l'arquitectura real del fitxer abans de canviar res.

Manteniu les garanties que feia la pila

La manera més ràpida de silenciar aquest error és també la pitjor: marcar un mòdul obligatori com a opcional, eliminar l'etapa de compte, o inserir un permís incondicional. Cadascuna converteix una comprovació fallida en una comprovació absent, i l'inici de sessió passa llavors per motius que ningú no havia previst. Restablir contrasenyes i canviar secrets compartits tampoc no proporcionen la funció que falta, perquè la fallada es produeix abans que cap credencial arribi a un servei de fons.

Una pila de diversos mòduls pot haver executat un altre servei de fons abans de l'entrada fallida, així que l'error no demostra que no s'hagi enviat cap petició RADIUS.

Verifiqueu l'inici de sessió, no el mòdul

Un cop corregida la discrepància, proveu el camí real d'admissió. Un compte vàlid ha de passar, les credencials no vàlides han de continuar fallant i un compte prohibit ha de continuar sent rebutjat. Confirmeu també que qualsevol requisit de certificat o factor addicional encara s'aplica, perquè una pila reparada que salta una etapa sembla un èxit des del costat del client.

Que un mòdul es carregui netament és un progrés, no una prova acabada.

Anoteu quin nom de servei, quins fitxers de política i quins punts d'entrada hi havia implicats, juntament amb l'únic intent que heu fet servir com a evidència. Aquest registre és el que converteix la propera ocasió en una consulta i no en un exercici d'arqueologia.