Kontu-blokeoa ala helbide-debekua: non zenbatzen du benetan OpenVPNe

Helbide bat blokeatzea eta kontu bat blokeatzea bi mekanismo desberdin dira, eta kontrako noranzkoetan huts egiten dute. Helbide-debekuak iturburu bat gelditzen du eta helburuko kontua beste nonbaitetik irisgarri uzten du; kontu-blokeoak identitate hori leku guztietan gelditzen du, erabiltzailearen beraren ordenagailuan ere.

Autentifikazioa PAMi uzten dion VPN baterako, kontagailua PAM pilak iristen duena da, entzuleak erregistratu zuena ez.

Bi kontagailu, bi biktima desberdin

Abiadura-mugatzaileak iturburu bat begiratzen du eta galdetzen du zenbat saiakera iritsi diren handik azkenaldian. Blokeoak identitate bat begiratzen du eta galdetzen du zenbat hutsegite pilatu dituen kontuak. Lehenengoak zerbitzuaren erabilgarritasuna babesten du, bigarrenak kredentziala; batek ez du bestea ordezkatzen.

Beraz blokeatzen dugu IPa bost hutsegiteren ondoren esaldia ez da kredentzialen betetzearen inguruko txosten bati emandako erantzuna. Erasotzaileak iturburuak txandakatzen ditu, bakoitzak saiakera gutxi jasotzen ditu, eta kontua ez da inoiz zenbatzen. Alderantziz, iturburu-kontrolik gabeko blokeoak erasotzaileari kontua mugagabe blokeatuta edukitzeko aukera ematen dio nahita huts eginez.

Bi kontrolek berreskuratze-istorio desberdinak dituzte. Helbide-debekua inork pentsatu behar ez duen tenporizadore batekin iraungitzen da; kontu-blokeoak administratzaile bat, itxaronaldi dokumentatu bat edo autozerbitzuko berrezarpen bat behar izan dezake.

Aurkitu zenbaketa jada duen biltegia

Ezer gehitu aurretik, jakin ezazu hutsegite-biltegi bat badagoen jada. Linux kontu lokalak, direktorio-zerbitzuak eta kanpoko identitate-hornitzaileak bakoitzak bere zenbaketa du, eta haien aurrean jartzen den PAM moduluak bigarren bat sortzen du lehena zabaldu beharrean.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Irakurri VPNak benetan aipatzen duen zerbitzu-fitxategia eta jarraitu bere barnebiltze-lerroak. Banaketa askotan VPN zerbitzuak fitxategi partekatu bat barnebiltzen du, hau da, doitzen ari zaren zenbaketa SSHra eta saio-hasiera lokaletara ere aplikatzen da.

Direktorioak blokeoa inposatzen badu, galdera erabilgarria da PAM elkarrizketak nola iristen duen erabaki hori eta VPNak nola jakinarazten duen. Gainetik gehitutako zenbaketa lokalak ez da direktorioaren kontagailua bihurtzen, eta bi politikak ez datoz bat kontua noiz desblokeatzen den.

pam_faillockek hiru dei-posizio ditu, bat ez

Moduluak kopia egin den lerro batek lausotzen dituen hiru eragiketa bereizten ditu: kontua jada blokeatuta dagoen egiaztatzea, hutsegitea erregistratzea eta arrakastaren ondoren historia garbitzea.

Hemen egiten du huts normalean zenbaketa-modulu zaharrago batetik egindako migrazioak. Lanean ari den pam_tally2 adibide batetik lerro bat pam_faillock pilan kopiatzea ez da izena aldatzea; dokumentatutako konfigurazioa desberdina da, eta okerreko tokian jarritako deiak hutsegiteak erregistra ditzake inoiz egiaztatu gabe.

faillock --user alice
faillock --user alice --reset

Ikuskapen-tresna da kontagailua erreala den ikusteko modurik azkarrena: kontu baten erregistratutako hutsegiteak erakusten ditu eta garbitu ditzake. Hutsegite kontrolatu batek irteera hori aldatzen ez badu, deiaren posizioa oker dago.

Zerbitzu-izen dedikatu bat ez da isolamendua

VPNari bere PAM zerbitzu-fitxategia emateak nahi den politika ikusgai egiten du, baina ez du efektua mugatzen. Fitxategi partekatu baten barnebiltzeak fitxategi horrek egiten duena ekartzen du, sistema osorako zenbaketak barne.

Erabaki argi blokeoak VPN sarbidea soilik estaltzen duen edo kontu bera autentifikatzen duen zerbitzu bakoitza. Bi erantzunak defendagarriak dira; hutsegitea bat aukeratu duzula sinestea da, pilak bestea gauzatzen duen bitartean.

Ondoren kontuan hartu kostua. Erasotzaileak blokeoa eragin dezake, eta sufritzen duen erabiltzailea kontuaren jabea da. Atalasea, itxaronaldia eta berreskuratze administratiboko bidea politikaren parte dira, eta berreskuratzeak ezin du VPNaren birkonfigurazioaren menpe egon gertakari batean.

Onartu sekuentzia, ez arbuio bakarra

Probatu izendatutako identitateekin onartutako plan baten arabera, eta probatu kate bat gertakari bakarraren ordez: kontu baliodunak autentifikatzen du, nahita okerreko pasahitzak kontagailua mugitzen du, konfiguratutako blokeoak indarra hartzen du eta dokumentatutako berreskuratzeak sarbidea itzultzen du.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Begiratu arrakastaren portaera hutsegitearena bezain arretaz. Saio-hasiera zuzenak historia garbitzen ez badu, kontua blokeatuko da ohiko erroreen pilaketa moteletik. Zerbitzu guztietatik dena garbitzen badu, kontagailua politikak dioena baino ahulagoa da.

Azkenik, gelditu gainbegiratu gabeko bezeroak garaipena aldarrikatu aurretik. Gorderiko kredentzial batek atzealdean berriro saiatuta hutsegiteak sortuko ditu berreskuratzearen minutu batzuetara eta kontua berriro blokeatuko du. Iturburuan oinarritutako abiadura-mugak kontrol gehigarri gisa jarrai dezake, baina ez da kontuaren politika.