OpenVPN PAM: saio-hasierako argumentua zerbitzu bat da, ez erabiltzaile bat

Erabiltzaile bat gehitu zen zerbitzarian, pasahitza behar bezala idatzi zen, eta konexioa oraindik AUTH_FAILED-rekin amaitzen da. Pluginaren lerroak normalean azaltzen du zergatik: pluginaren bidearen ondorengo hitza PAM zerbitzu-izena da, eta galderari zein modulu-pilak erantzuten dion erabakitzen du. Ez da erabiltzaile-izena, eta ez da OpenVPN berak irakurtzen duen pasahitz-fitxategirako erakuslea.

Zer hautatzen du bigarren hitzak

Konfigurazio-lerroak plugin-bide bat eta argumentu bat hartzen ditu:

plugin /usr/lib/openvpn/plugins/openvpn-plugin-auth-pam.so openvpn

Argumentu hori PAM liburutegiari zerbitzu-izen gisa pasatzen zaio, eta horrek /etc/pam.d/openvpn-ko pila exekutatzen duena bihurtzen du. Han login idazten baduzu, saio-hasierako politika interaktiboa lortzen duzu horren ordez, politika horrek zure distribuzioan barne hartzen dituen moduluekin.

Erabili instalatutako paketeak ematen duen plugin-bidea, beste host batetik kopiatutako bidea erabili beharrean. Fitxategi-izena eta direktorioa distribuzioen artean aldatzen dira, eta bide oker batek abiaraztean huts egiten du pluginaren karga-errore batekin, ez autentifikatzean.

Non irakurtzen dituen pilek kontuak benetan

PAM bidaltzaile bat da. Zerbitzu-fitxategiak moduluak ordenan zerrendatzen ditu, eta erantzun dezakeen lehenak erabakitzen du emaitza. pam_unix deitzen duen pilek kontu lokalak irakurtzen ditu; LDAP edo RADIUS modulu bat deitzen duen pilek beste leku batera bidaltzen ditu kredentzialak erabat.

Irakurri zerbitzu-izenak ebazten duen fitxategia, barne hartzen duen guztia barne:

cat /etc/pam.d/openvpn
grep -H pam_ /etc/pam.d/openvpn /etc/pam.d/common-auth

Pilek direktorio batera delegatzen badu, kontu lokal bat gehitzeak ez du ezer aldatzen. Kontu lokalak irakurtzen baditu, direktorioan erabiltzailea sortzeak ez du ezer aldatzen ere. Kontuak pilek begiratzen duen lekuan egon behar du, eta hori da diagnostiko osoa txosten horietako gehienetan.

Saiakera bat, bi erregistro

Korrelazionatu huts egindako konexio bakarra bi aldeetan. OpenVPN erregistroak pluginaren emaitza eta bezeroaren ukoa erakusten ditu; sistemaren autentifikazio-erregistroak zein modulu exekutatu zen eta zer erabaki zuen erakusten du. Leiho berean irakurtzea da zerbitzu-fitxategi bat falta den backend-denborazko muga batetik bereizten duena. Autentifikazio-erregistroan hutsune bat egoteak esan nahi du pilak ez zuela inoiz ukitu.

journalctl -u openvpn-server@server --since "-2 min"
journalctl -t sshd -t sudo --since "-2 min"

Probatu zerbitzua zuzenean PAM hitz egiten duen tresna batekin, VPN-a eta pila aldi berean araztu ez ditzazun. Zerbitzu-izen eta kontu berberekin egindako proba zuzen arrakastatsuak arazoa daemonak kredentzialak nola pasatzen dituen mugatzen du, ez kontua bera.

pamtester openvpn alice authenticate

Proba zuzenak kontsolan funtzionatzen duten kredentzial berberekin huts egiten badu, pilek ez du zuk suposatutako kontu-iturria irakurtzen. Arrakasta badu, begiratu pluginak egiten duen elkarrizketa eta bezeroak benetan bidali zuenari. Exekutatu behin nahita okerreko pasahitz batekin ere, uko baten eta modulu-errore baten arteko aldea ikusteko. Bi emaitza horiek berdinak dirudite VPN erregistroan eta erabat desberdinak hemen.

Zerbitzu dedikatu bat saio-hasiera editatzea baino hobea da

Eman VPN-ari bere zerbitzu-fitxategia, bere eskakizunak saio-hasiera interaktiboaren desberdinak direnean, normalean eta. login edo common-auth editatzeak horiek barne hartzen dituen programa guztien politika aldatzen du, eta loturarik gabeko saio-hasierako arazo bat araztuko duen hurrengo pertsonak zure aldaketa heredatuko du.

Kopiatu behar dituzun moduluak zerbitzu-fitxategi txiki batean, mantendu ordena esplizitua, eta idatzi nork duen jabetza. Fitxategi hori da pasahitz berrezarpen batek eraginik ez duela ematen duenean egiaztatu behar dena.

Zer bidaltzen duen bezeroak, eta zer ez

Bezeroak erabiltzaile-izena eta pasahitza ematen ditu onartutako galdera edo fitxategi baten bidez. Zerbitzariaren pluginak balio horiek PAM elkarrizketara pasatzen ditu; ez ditu zerbitzariaren konfiguraziotik irakurtzen. Pasahitz bat definitzen duela ematen duen zerbitzari aldeko lerro batek ez du hori egiten, eta profil-edizio batek ere ez du konturik sortuko.

Erabiltzaile-izenak eta pasahitzak bezero-ziurtagiriekin batera egon daitezke, eta PAM gaitzea ez da ziurtagiriak egiaztatzeari uzteko arrazoia. Mantendu inplementazioak nahi zituen geruzak eta konpondu kontu-iturria soilik.

Onarpena bi noranzkoa da: aurreikusitako kontuak arrakasta du, eta ukatu beharko litzatekeen kontuak huts egiten du oraindik. Fitxategi auth-pam pluginaren README dokumentuak zerbitzu-argumentua eta zerbitzatu ditzakeen backendak deskribatzen ditu, eta hori da eraiki nahi duzun antolamendua baieztatzeko lekua.