Mae dilysu LDAP OpenVPN yn gweithio ond mae’r gwiriad grŵp yn methu: ble i edrych

Mae’r manylion mewngofnodi’n pasio, mae’r twnnel yn dechrau codi, ac yna mae’r sesiwn yn methu â neges am y grŵp yn hytrach nag am y cyfrinair. Mae’r cyfuniad hwnnw’n gosod y methiant yn ail hanner gwaith ategyn LDAP: llwyddodd y cysylltiad a’r gwiriad cyfrinair, ac ni lwyddodd y penderfyniad aelodaeth sy’n dilyn. Mae’r ddau hanner yn darllen o’r un bloc ffurfweddu, a dyna pam y gall trwsio mewn un man adael y llall yn gyffwrdd. Dechreuwch o’r llinell log sy’n enwi’r cam, nid o’r cyfrif rydych chi’n digwydd profi ag ef.

Triniwch y gwrthodiad fel ateb awdurdodi

Mae’r ategyn yn gwneud cysylltiad gwasanaeth, yn chwilio am y cyfrif, yn gwirio’r cyfrinair a roddwyd, ac yna’n gofyn a yw’r cyfrif hwnnw’n perthyn i grŵp a ganiateir. Mae’r rheini’n bedair gweithred wahanol, a dim ond yr olaf sy’n ymwneud â grwpiau. Felly nid yw gwrthodiad sy’n cyrraedd ar ôl cysylltiad llwyddiannus yn dweud dim am y cyfrinair, hyd yn oed pan fydd y cleient yn dangos gwall dilysu cyffredinol. Codi lefel log yr ategyn cyn newid y ffurfweddiad yw’r peth sy’n gwahanu’r pedair yn yr allbwn.

Chwiliwch am yr asesiad grŵp ei hun. Pan na fydd unrhyw ymholiad grŵp yn ymddangos o gwbl, nid yw’r bloc awdurdodi’n cael ei gyrraedd, sy’n golygu fel arfer bod cyfarwyddeb y tu allan i’r bloc sy’n berchen arni neu fod opsiwn gofynnol ar goll. Pan fydd yr ymholiad yn ymddangos ac yn dychwelyd dim, mae’r pwynt terfyn neu’r hidlydd yn ateb cwestiwn gwahanol i’r un oedd gennych mewn golwg.

Penderfynwch a yw aelodaeth yn byw yn yr hidlydd neu mewn bloc grŵp

Mae dau ffurf a gefnogir, a’u cymysgu yw’r ffordd y mae ffurfweddiad sy’n gweithio yn rhoi’r gorau iddi. Mae’r cyntaf yn gwthio aelodaeth i chwiliad y defnyddiwr drwy ofyn am briodwedd ar wrthrych y defnyddiwr; mae’r ail yn gadael chwiliad y defnyddiwr yn llonydd ac yn gadael i’r ategyn chwilio am wrthrych y grŵp wedyn. Dewiswch un fesul defnyddiad ac ysgrifennwch pa un a ddewisoch.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(&(sAMAccountName=%u)(memberOf=CN=VPN Access,OU=Groups,DC=example,DC=org))"
    RequireGroup false
</Authorization>

Gyda’r ffurf honno’r hidlydd sy’n penderfynu popeth, felly rhaid i RequireGroup fod yn false neu bydd yr ategyn yn chwilio am wrthrych grŵp na soniodd yr hidlydd amdano erioed. Rhaid i’r briodwedd yn yr hidlydd fodoli ar wrthrych y defnyddiwr a chael ei llenwi, nad yw’n warantedig unwaith y bydd grwpiau’n nythu.

Mae’r ffurf arall yn cadw’r chwiliad yn syml ac yn ychwanegu chwiliad grŵp ar ei ôl. Enwir gwrthrych y grŵp yn eglur, ac mae’r ategyn yn cymharu’r defnyddiwr â’r aelodau y mae’r cyfeiriadur yn eu dychwelyd ar ei gyfer. Nid oes dim yn newid yn hidlydd y defnyddiwr, sy’n gwneud y ffurf hon yn haws i’w harchwilio pan fydd tîm arall yn rheoli’r grŵp.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(sAMAccountName=%u)"
    RequireGroup true
    Group        "CN=VPN Access,OU=Groups,DC=example,DC=org"
</Authorization>

Mae’r man dall yn gyffredin: nid yw cymhariaeth aelodaeth syml yn ehangu grwpiau nythol, felly mae cyfrif y daw ei fynediad drwy grŵp rhiant yn methu tra bo’r consol yn dal i ddangos yr aelodaeth. Mae Active Directory yn datgelu member ar y grŵp, mae sgemâu eraill yn defnyddio uniqueMember, ac mae pwyntio at y briodwedd anghywir yn dychwelyd canlyniad gwag yn lle gwall.

Dewiswch bwynt terfyn sy’n dal gwrthrych y grŵp

Mae’r URL yn penderfynu pa gyfeiriadur y mae’r ategyn yn gofyn iddo, ac mae rheolydd parth ar borth 389 yn ateb dim ond dros ei gyd-destun enwi ei hun. Mae catalog byd-eang ar borth 3268 yn ateb dros y goedwig gyfan, yn ddarllen-yn-unig ac â set briodweddau rannol. Pan fydd y cyfrifon mewn un parth a’r grŵp VPN mewn parth arall, gall ymholiad un-parth ddod o hyd i’r defnyddiwr a cholli’r aelodaeth o hyd. Dyna’r achos lle mae symud yr URL i borth y catalog yn datrys y gwrthodiad, a dyna hefyd yr achos lle mae pobl yn cyffredinoli’n rhy bell.

Y set briodweddau rannol yw’r terfyn: ni ellir hidlo ar briodwedd nad yw’r catalog yn ei dal, felly gall yr un newid wneud i un defnyddiad weithio a i un arall ddychwelyd dim. Cadarnhewch beth mae’r pwynt terfyn yn ei ddychwelyd mewn gwirionedd ar gyfer y defnyddiwr a’r grŵp go iawn cyn ailysgrifennu’r bloc. Mae atgyfeiriadau a TLS yn gwestiynau ar wahân eto, gan fod yn rhaid dilyn atgyfeiriad, ac mae pwynt terfyn sy’n gofyn am TLS angen y ffeiliau ymddiriedaeth cyfatebol.

Cadwch gyflwr y cyfrif a chwmpas y chwiliad yn eu meysydd eu hunain

Mae’r faner anabl yn perthyn i’r hidlydd, nid i’r gwiriad grŵp. Yn Active Directory dyma ail ffit userAccountControl, a heb y cyflwr hwnnw mae cyfrif anabl â chyfrinair dilys yn dilysu ac yna’n methu yng ngham y grŵp, sy’n edrych fel gwall awdurdodi. Mae cwmpas y chwiliad yn perthyn i’r DN sylfaen, oherwydd mae dechrau wrth wraidd y parth yn arafach a gall gydweddu â gwrthrychau y tu allan i’r uned sefydliadol yr oeddech yn bwriadu ei chwmpasu.

Cadwch hawliau’r cyfrif cysylltu’n gul hefyd. Mae hawliau cyfeiriadur eang yn troi hidlydd sydd wedi’i ffurfweddu’n anghywir yn ymholiad llwyddiannus ac yn cuddio’r nam nes i rywun archwilio’r cyfrif. Newidiwch aelodaeth yn y cyfeiriadur ei hun, byth mewn rhestr eithriadau leol, fel bod analluogi’r cyfrif yn ddigon i dynnu mynediad. Os yw tîm arall yn rheoli’r grŵp, cytunwch ar y briodwedd maen nhw’n ei llenwi cyn ysgrifennu hidlydd yn ei herbyn.

Profwch y canlyniad gyda thri chyfrif

Rhedwch y ffurfweddiad yn erbyn tair hunaniaeth: aelod a ganiateir, cyfrif dilys y tu allan i’r grŵp, a chyfrif sydd wedi’i analluogi. Os gwrthodir y tri, mae’r cysylltiad neu’r ymholiad grŵp wedi torri; os derbynnir y tri, nid oes unrhyw amod grŵp yn cael ei gymhwyso o gwbl. Canlyniad cymysg yw’r unig ganlyniad sy’n profi bod y ffurfweddiad yn gwahaniaethu’r achosion sy’n bwysig i chi.

Darllenwch yr un tri ateb yn syth o’r cyfeiriadur cyn beio’r ategyn. Mae’r ymholiad cyntaf yn dangos y briodwedd grŵp y mae’r hidlydd yn dibynnu arni, ac mae’r ail yn dangos gwerth rheoli’r cyfrif. Amnewidiwch eich DN sylfaen, cyfrif a phwynt terfyn eich hun:

ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=alice)" memberOf
ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=bob)" userAccountControl

Mae defnyddiwr y daw memberOf yn wag ar ei gyfer yn ffaith cyfeiriadur, nid yn nam ategyn, ac mae cyfrif sy’n dal i ddilysu ar ôl cael ei analluogi yn golygu bod yr hidlydd yn colli’r amod rheoli cyfrif. Trwsiwch y dystiolaeth honno’n gyntaf, yna rhedwch brawf y tri chyfrif eto. Cadwch y llinell log a enwodd y cam methu wrth ymyl y newid ffurfweddu, fel y gall y person nesaf wahanu awdurdodi oddi wrth ddilysu heb ailadrodd y chwiliad.