Pam na all golygu ffeil .ovpn droi MFA ar y gweinydd ymlaen

Rydych yn ychwanegu auth-user-pass at broffil, yn ailgysylltu, ac mae’r cleient yn gofyn am enw defnyddiwr a chyfrinair. Mae’n edrych fel bod MFA ymlaen. Yna rydych yn teipio cod o’r cyfrif anghywir, neu god a ddaeth i ben ddeng munud yn ôl, ac mae’r tiwnel yn codi o hyd. Dyna’r symptom: newidiodd y cleient, ni wnaeth y gweinydd. Nid yw cyfrinair untro yn ffactor oni bai bod gwirydd ar y gweinydd yn penderfynu a yw’n ddilys i’r hunaniaeth sy’n ei hawlio.

Dim ond profi bod y cleient wedi gofyn y mae’r anogiad, dim mwy

Dogfen ar ochr y cleient yw ffeil .ovpn. Gall ddweud wrth y cleient i ofyn am gymwysiadau, i’w cadw yn y storfa neu i roi’r gorau iddi. Ni all gofrestru defnyddiwr, gosod modiwl PAM, na gwneud i’r gweinydd fynnu ail ffactor nad yw’n ei wirio ar hyn o bryd.

Nid yw gosod ap dilysu ar ffôn yn creu’r berthynas honno chwaith. Mae prosiect Google Authenticator PAM yn gydran wirio OTP a all eistedd y tu ôl i OpenVPN; nid yw’n ffordd o glymu mewngofnodi cyfrif Google wrth broffil wedi’i fewnforio.

Cofrestru yw’r rhan na all proffil ei gwneud

Mae TOTP angen deunydd cofrestru a rennir rhwng yr ap dilysu a’i wirydd. Y chwe digid ar y ffôn yw’r allbwn; yr hedyn y tu ôl iddynt yw’r gyfrinach, ac mae’n perthyn i un hunaniaeth.

Felly mae angen proses gofrestru ar y gweithredwr sy’n clymu’r hedyn cywir wrth yr hunaniaeth VPN gywir, ynghyd â llwybr disodli wedi’i wirio ar gyfer ffôn coll. Mae gadael i ddefnyddwyr lwytho ffeil wedi’i henwi ar eu hôl yn troi cofrestru’n gyfle i feddiannu cyfrif, ac nid yw amgryptio’r llwythiad yn newid hynny.

Nid oes rhaid i ddyluniad sy’n seiliedig ar PAM greu cyfrif Unix ar wahân ar gyfer pob defnyddiwr VPN. Mae dogfennaeth y modiwl yn cefnogi llwybrau cyfrinachol eraill a chyfrif penodedig ar gyfer mynediad i ffeiliau, sef hunaniaeth system ffeiliau yn hytrach na’r hunaniaeth fewngofnodi sy’n cael ei gwirio.

Y camgymeriad cyffredin yw llwybr cyfrinachol sefydlog sy’n gorffen ag un enw defnyddiwr, wedi’i gopïo o enghraifft un-defnyddiwr. Arddangosiad o un hunaniaeth yw hynny, nid chwiliad fesul defnyddiwr, ac nid yw ei ddefnyddio ar gyfer pob cais yn rhoi ap dilysu wedi’i gofrestru’n annibynnol i unrhyw un. Ysgrifennwch y mapio hunaniaeth, diogelwch y ffeiliau hedyn, a chadw’r gwiriadau cyfrinair, tystysgrif a chyfrif yn yr un stos dilysu.

Darllenwch y stos PAM i weld beth sydd ei angen mewn gwirionedd

Nid yw llinell fel account required pam_permit.so yn gweithredu cymhwyster cyfrif ac nid yw’n ychwanegu ffactor. Mae’n caniatáu’r cam rheoli cyfrifon PAM hwnnw, sef datganiad am gam yn hytrach nag am eich defnyddwyr.

Mae’r un peth yn wir am opsiynau cofrestru caniataol. Gall derbyn defnyddwyr heb gyfrinach gofrestredig fod yn ddewis rholio allan bwriadol, ond nid yw’n brawf bod MFA yn orfodol, a dylid ei nodi fel eithriad dros dro gyda dyddiad dod i ben.

Cyfunwch ryngweithiad y cleient â dyluniad y gweinydd

auth-user-pass

Mae’r gyfarwyddeb hon yn gofyn am fewnbwn enw defnyddiwr a chyfrinair. Nid yw’n ffurfweddu PAM, nid yw’n creu cofnod cofrestru, ac nid yw’n dweud wrth y gweinydd fod y maes cyfrinair yn cynnwys gwerth TOTP. Rhaid i integreiddiad y gweinydd a’r cleient gytuno ar ryngweithiad y mae’r defnydd yn ei gefnogi mewn gwirionedd: her, fformat cymwysiadau cyfunol wedi’i ddogfennu, neu lif sy’n benodol i’r cynnyrch.

Peidiwch ag ychwanegu cod at y cyfrinair dim ond oherwydd bod y cleient yn dangos un maes. Dim ond lle mae ategyn y gweinydd yn disgwyl yr union fformat hwnnw y mae’n gweithio, ac mae’n methu’n ddryslyd ym mhobman arall.

Cadwch hedynnau a deunydd QR allan o broffiliau a rennir a logiau diagnostig arferol. Nid yw cod a gyflwynir dros y sianel fewngofnodi ddilys yr un gwrthrych â’r hedyn a ddarperir yn ystod cofrestru rheoledig, a chymysgu’r ddau mewn tocyn cymorth yw’r ffordd y mae cyfrinachau’n dianc.

Ailgysylltiadau, tocynnau a’r prawf sy’n setlo’r mater

Cynlluniwch ar gyfer yr hyn sy’n digwydd ar ôl y mewngofnodi llwyddiannus cyntaf. Gall cod a dderbyniwyd o’r blaen fod wedi dod i ben neu gael ei wrthod fel ailchwarae yn yr awthentigiad nesaf. Mae auth-nocache yn rheoli cadw cymwysiadau ac nid yw’n gosod MFA, ac nid yw reneg-sec 0 yn ddiffiniad o gefnogaeth TOTP, pa mor aml bynnag y mae’n ymddangos mewn edafedd fforwm.

Mae rhai defnyddiadau yn cyhoeddi tocynnau awthentigiad ar ôl y gwiriad cychwynnol fel nad yw ailgysylltiadau’n gofyn eto. Penderfyniad dylunio gyda’i ffenestr ddilysrwydd a’i stori ddirymu ei hun yw hwn, nid diofyn rydych yn ei etifeddu.

Yna profwch y polisi derbyn gyda’r cleient y mae pobl yn ei ddefnyddio mewn gwirionedd. Dylai defnyddiwr cofrestredig sydd â’r cyfrinair, y dystysgrif a’r cod cyfredol cywir gysylltu. Dylai cod anghywir, defnyddiwr heb gofrestriad, a chyfrif gwaharddedig bob un fethu, a dylai’r rheswm fod yn weladwy yn log y gweinydd. Hyd nes y byddwch wedi gweld y gwrthodiadau hynny, anogiad sydd gennych, nid polisi.