Cloi cyfrif yn erbyn gwahardd cyfeiriad: lle mae OpenVPN yn cyfrif mewn gwirionedd

Mae blocio cyfeiriad a chloi cyfrif yn ddau fecanwaith gwahanol, ac maent yn methu i gyfeiriadau croes. Mae gwaharddiad cyfeiriad yn atal un ffynhonnell ac yn gadael y cyfrif targed yn gyrraeddadwy o rywle arall; mae cloi cyfrif yn atal y hunaniaeth honno ym mhob man, gan gynnwys gliniadur y defnyddiwr ei hun.

Ar gyfer VPN sy’n dirprwyo dilysu i PAM, y cyfrifydd yw’r hyn y mae pentwr PAM yn ei gyrraedd, nid yr hyn a gofnododd y gwrandawr.

Dau gyfrifydd, dau ddioddefwr gwahanol

Mae’r cyfyngydd cyfradd yn gwylio ffynhonnell ac yn gofyn faint o ymdrechion sydd wedi dod ohoni yn ddiweddar. Mae’r clo yn gwylio hunaniaeth ac yn gofyn faint o fethiannau y mae’r cyfrif wedi’u casglu. Mae’r cyntaf yn gwarchod argaeledd gwasanaeth, yr ail yn gwarchod yr enw defnyddiwr; nid yw’r naill yn cymryd lle’r llall.

Felly nid yw’r frawddeg rydym yn blocio’r IP ar ôl pum methiant yn ateb i adroddiad am lenwi manylion mewngofnodi. Mae’r ymosodwr yn newid ffynonellau, mae pob un yn cael ychydig o ymdrechion, ac nid yw’r cyfrif byth yn cael ei gyfrif. I’r gwrthwyneb, mae clo heb reolaeth ffynhonnell yn caniatáu i’r ymosodwr gadw’r cyfrif wedi’i gloi am byth trwy fethu’n fwriadol.

Mae gan y ddau reolydd straeon adfer gwahanol hefyd. Mae gwaharddiad cyfeiriad yn dod i ben ar amserydd nad oes angen i neb feddwl amdano; gall clo cyfrif fod angen gweinyddwr, cyfnod aros wedi’i ddogfennu neu ailosodiad hunanwasanaeth.

Dewch o hyd i’r storfa sy’n berchen ar y cyfrif yn barod

Cyn ychwanegu unrhyw beth, darganfyddwch a oes storfa methiannau eisoes. Mae cyfrif Linux lleol, gwasanaeth cyfeiriadur a darparwr hunaniaeth allanol bob un yn cadw eu cyfrif eu hunain, ac mae modiwl PAM o’u blaen yn creu ail yn hytrach nag estyn y cyntaf.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Darllenwch y ffeil gwasanaeth y mae’r VPN yn ei henwi mewn gwirionedd a dilynwch ei linellau cynnwys. Mewn llawer o ddosbarthiadau mae gwasanaeth y VPN yn cynnwys ffeil gyffredin, sy’n golygu bod y cyfrif rydych yn ei addasu hefyd yn berthnasol i SSH ac i fewngofnodi lleol.

Os yw’r cyfeiriadur yn gorfodi clo yn barod, y cwestiwn defnyddiol yw sut mae sgwrs PAM yn cyrraedd y penderfyniad hwnnw a sut mae’r VPN yn ei adrodd. Nid yw cyfrif lleol ar ei ben yn dod yn gyfrifydd y cyfeiriadur, a gall y ddwy bolisi anghytuno ynghylch pryd y bydd y cyfrif yn datgloi.

Mae gan pam_faillock dair safle galw, nid un

Mae’r modiwl yn gwahanu tair gweithred y mae un llinell wedi’i chopïo fel arfer yn eu cymylu: gwirio a yw’r cyfrif eisoes wedi’i gloi, cofnodi methiant, a chlirio’r hanes ar ôl llwyddiant.

Dyma lle mae mudo o fodiwl cyfrif hŷn fel arfer yn mynd o’i le. Nid yw copïo llinell o enghraifft pam_tally2 sy’n gweithio i mewn i bentwr pam_faillock yn ailenwi; mae’r gosodiad wedi’i ddogfennu yn wahanol, a gall galwad wedi’i gosod yn anghywir gofnodi methiannau heb fyth eu gwirio.

faillock --user alice
faillock --user alice --reset

Yr offeryn archwilio yw’r ffordd gyflymaf i weld a yw’r cyfrifydd yn real: mae’n adrodd y methiannau a gofnodwyd ar gyfer cyfrif ac yn gallu eu clirio. Os nad yw methiant rheoledig yn newid y canlyniad hwnnw, mae safle’r alwad yn anghywir.

Nid yw enw gwasanaeth pwrpasol yn ynysu

Mae rhoi ffeil gwasanaeth PAM ei hun i’r VPN yn gwneud y bolisi arfaethedig yn weladwy, ond nid yw’n cyfyngu’r effaith. Mae unrhyw gynnwys o ffeil gyffredin yn tynnu i mewn yr hyn y mae’r ffeil honno yn ei wneud, gan gynnwys cyfrifon sy’n berthnasol i’r system gyfan.

Penderfynwch yn glir a yw’r clo i gwmpasu mynediad VPN yn unig neu bob gwasanaeth sy’n dilysu’r un cyfrif. Mae’r ddau ateb yn amddiffynadwy; y methiant yw credu eich bod wedi dewis un tra bo’r pentwr yn gweithredu’r llall.

Yna cyfrifwch y gost. Gall ymosodwr sbarduno’r clo, a’r defnyddiwr sy’n dioddef yw perchennog y cyfrif. Mae’r trothwy, y cyfnod aros a’r llwybr adfer gweinyddol i gyd yn rhan o’r polisi, ac ni ddylai’r adfer fod yn dibynnu ar ailffurfweddu’r VPN yn ystod digwyddiad.

Derbyniwch y dilyniant, nid un gwrthodiad

Profwch gyda hunaniaethau dynodedig o dan gynllun cymeradwy, a phrofwch gadwyn yn hytrach na digwyddiad sengl: mae cyfrif dilys yn dilysu, mae cyfrinair gwael bwriadol yn symud y cyfrifydd, mae’r clo wedi’i ffurfweddu yn dod i rym, ac mae’r adfer wedi’i ddogfennu yn dychwelyd mynediad.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Edrychwch ar ymddygiad llwyddiant mor ofalus ag ymddygiad methiant. Os nad yw mewngofnodi llwyddiannus yn clirio’r hanes, bydd cyfrif yn cloi ar ôl cronni araf o gamgymeriadau cyffredin. Os yw’n clirio popeth o bob gwasanaeth, mae’r cyfrifydd yn wannach nag y mae’r polisi’n honni.

Yn olaf, stopiwch gleientiaid heb oruchwyliaeth cyn datgan buddugoliaeth. Bydd manylion mewngofnodi wedi’u cadw sy’n ailgeisio yn y cefndir yn ail-greu’r methiannau funudau ar ôl adfer ac yn cloi’r cyfrif eto. Gall cyfyngu cyfradd yn seiliedig ar ffynhonnell aros fel rheolydd ychwanegol, ond nid dyna bolisi’r cyfrif.