PAM-moodul on tundmatu: milline protsess tegelikult ebaõnnestus
Sõnum nimetab jagatud objekti ja sisendpunkti, mitte parooli. Leidke protsess, mis selle logis, seejärel kontrollige laadimist, sümboleid ja virna garantiisid.
Lugege seda fraasi väitena jagatud objekti ja funktsiooniosuti kohta, mitte parooli kohta. Samad sõnad võivad tulla OpenVPN pistikprogrammist, ühe teenuse jaoks laaditud PAM-virnast või RADIUS-deemonist seestpoolt, ja need on kolm erinevat uurimist. Kõigepealt määrake protsess.
Allpool olevad kontrollid eeldavad, et sõnum ilmnes Linux-PAM-i integratsiooni kaudu VPN-i sisselogimisel. Kui see tuli RADIUS-serveri enda konfiguratsioonist, alustage selle deemonit tõenditest.
Nimetage protsess enne paketi nimetamist
Kolme komponenti nimetatakse mooduliks ja ükski neist ei ole vahetatav. OpenVPN-i autentimise pistikprogrammi laadib VPN-i deemon ja see rakendab selle deemonit tagasikutse liidest. PAM-moodul on jagatud objekt, mille libpam laadib nimetatud teenuse jaoks, ja mis rakendab sisendpunkte nagu pam_sm_authenticate. FreeRADIUS-e moodul on selle deemonit enda konfiguratsiooni osa. Sama sõnastusega sõnum võib tulla kõigist kolmest, seega esimene küsimus on, milline logirida selle tekitas.
Korrelleerige ühe ebaõnnestunud katse ajatempel VPN-i logi ja süsteemi autentimislogi vahel, seejärel lugege kokkuvõttele eelnevaid ridu. Konkreetne laadija teade on tavaliselt juba seal.
Lugege laadimistõrget, seejärel sisendpunkti
PAM teatab tundmatust moodulist, kui ta ei suuda valitud jagatud objekti laadida või kui laaditud objekt ei paku funktsiooni, mida see virnakirje nõuab. Need on erinevad parandused: esimene on tee, pakendamise või ABI probleem ja teine on sobimatu sisendpunkt. Autentimisrida vajab pam_sm_authenticate samas kui konto rida vajab pam_sm_acct_mgmt, ja teeki, mis rakendab ainult ühte neist, ebaõnnestub teise puhul, nagu saatja kood näitab. Faili leidmine kettalt ei tõesta kumbagi.
Sarnase nimega teegi võtmine teisest distributsioonist või CPU arhitektuurist ei ole parandus ja see võib jätta protsessi laadima moodulit, mida pole kunagi selle libpam-i vastu testitud. Enne millegi muutmist kontrollige paketti, millele kavandatud tee kuulub, ja faili tegelikku arhitektuuri.
Säilitage garantiid, mille virn andis
Kiireim viis selle vea vaigistamiseks on ka halvim: märkida nõutav moodul valikuliseks, kustutada konto etapp, või lisada tingimusteta luba. Igaüks neist muudab ebaõnnestunud kontrolli puuduvaks kontrolliks ja sisselogimine õnnestub siis põhjustel, mida keegi ei kavatsenud. Parooli lähtestamine ja ühise saladuse muutmine ei anna samuti puuduvat funktsiooni, sest tõrge tekib enne, kui ükski autentimisandmed jõuavad taustasüsteemi.
Mitme mooduliga virn võis enne ebaõnnestunud kirjet käivitada teise taustasüsteemi, seega ei tõesta viga, et RADIUS-päringut ei saadetud.
Kontrollige sisselogimist, mitte moodulit
Pärast lahknevuse parandamist testige tegelikku vastuvõtuteed. Kehtiv konto peaks läbima, kehtetud autentimisandmed peaksid endiselt ebaõnnestuma ja keelatud konto peaks endiselt tagasi lükatama. Kinnitage ka, et sertifikaadi või lisafaktori nõue on endiselt jõus, sest etappi vahele jättev parandatud virn näeb kliendi poolelt välja nagu edu.
Mooduli puhas laadimine on edasiminek, mitte lõpetatud test.
Kirjutage üles, milline teenuse nimi, millised poliitikafailid ja millised sisendpunktid olid kaasatud, koos ühe katsega, mida kasutasite tõendina. Just see kirje muudab järgmise juhtumi otsinguks, mitte arheoloogiliseks harjutuseks.