OpenVPN saio-hasieraketak talde bakarrera mugatzea PAM politika batekin

Mantendu kontu bakoitza normaltasunez saioa hasteko gai, baina utzi talde bati soilik VPN-a erabiltzen. PAM-ek diferentzia hori adieraz dezake bigarren pasahitz biltegirik gabe, eta OpenVPN plugina nahi dituzun egiaztapenak soilik dituen zerbitzu batera zuzendu daiteke. Trikimailua zerbitzu hori sistemako pila bat nahi gabe heredatu gabe eraikitzea da.

Hemen ibilbidea pluginaren zerbitzu izenetik abiatzen da, politika bat eraikitzen du eta gero garrantzitsuak diren hiru emaitzak probatzen ditu: kidea, pasahitz balioduna duen kanpokoa eta kredentzial txarra.

Zergatik PAM zerbitzu bereizi bat

auth-pam pluginak zerbitzu izen bat hartzen du argumentu gisa. Izen horrek /etc/pam.d azpiko fitxategi bat hautatzen du, eta fitxategi horretako pila da VPN saio-hasieran exekutatzen dena. Sistemako saio-hasierak erabiltzen duen izen bera pasatzen baduzu, pila horretako erabaki guztiak heredatuko dituzu, geroago arrazoi desberdinengatik gehitutakoak barne.

Sortu zerbitzu dedikatu bat horren ordez. Hasi jada aurreikusitako backendaren aurka autentifikatzen duen pila funtzional batetik, hala nola tokiko pasahitz fitxategi bat, SSSD edo direktorio zerbitzu bat, eta gero gehitu egokitasun araua. Bi lerro fitxategi huts batean kopiatzea ohiko akatsa da: pasahitzaren iraungipena, kontuaren blokeoa eta beste egiaztapen batzuk kopiatu ez duzun pilan bizi daitezke.

Zerbitzua bereizteak kaltearen irismena ere mugatzen du. Pila partekatu bateko VPN soilik arau batek denentzako SSH edo kontsola sarbidea ukatu dezake, eta horrek sarbide aldaketa etenaldi bihurtzen du.

Taldearen araua idaztea

Egokitasun egiaztapena kontu fasean dagokio, kredentziala egiaztatu ondoren. account required pam_succeed_if.so user ingroup vpnusers bezalako arau batek prozesamendua jarraitzea baimentzen du autentifikatutako erabiltzailea talde horretako kidea denean soilik.

Lerro hori zati bat da, ez zerbitzu osoa. Integratu onartutako bide bakoitzak hara iristen den tokian, eta egiaztatu inguruko kontrol banderak. Pilan lehenagoko sufficient edo jauzi kontrol batek prozesamendua amaitu dezake zure araua exekutatu aurretik, eta horrek murrizketa iradokizun bihurtzen du.

Ez gehitu use_uid ohituraz. Hori gabe moduluak autentifikatzen ari den erabiltzailea ebaluatzen du; horrekin moduluak OpenVPN prozesua exekutatzen ari den kontua ebaluatzen du, normalean root edo zerbitzu kontu bat, eta beraz ez da saioa hasten ari den pertsona.

Taldeko kidetza sistemaren identitate ebazpenetik dator, ez ezagutzen duzun izen batetik. Direktorio erabiltzaileentzat, egiaztatu backend berak erabiltzaile horren talde kontsultei erantzuten diela, izen ezaguneko tokiko talde bat izen bereko direktorio taldearen objektu desberdina baita.

Ordenaren eta identitatearen tranpak

Jarri taldearen araua autentifikazio pilaren ondoren eta oraindik aplikatu behar den egiaztapen baten ondoren, baina mantentzen dituzun kontu egiaztapenen aurretik edo haien ondoan. PAM-ek moduluak fitxategi ordenaren arabera ebaluatzen ditu, eta lerro bakoitzeko kontrol balioak erabakitzen du hutsegitea finala den.

Adi egon bikoiztutako pilekin. Ohiko eredua kontu arau bat dagoeneko duen barne-kaste bat da, jarraian zure talde araua duena, eta horrek bi erabaki sortzen ditu bat espero zenuen tokian. Irakurri barne hartutako fitxategia, ez editatu duzuna soilik. Benetako ordena ikusteko modu azkarra fitxategia goitik behera irakurtzea eta kontrol balio bakoitza oharrapatzea da.

Mantendu onarpen baldintza besteak osorik. Pasahitz arrakastatsu batek ez ditu ordezkatzen ziurtagiri egiaztapenak, bigarren faktore bat edo konexio osteko baimena, eta politika hau ez da horietako ezein ordezkatzen. Kontua VPN sarbiderako kontuan hartzeko egokia den soilik erabakitzen du.

Kideak, kanpokoak eta pasahitz okerrak probatzea

Probatu hiru kasu politika amaitutzat eman aurretik. Kide bat behar bezala konektatzen da. Taldearen kanpoko kontu baliodun batek bere pasahitza autentifikatzen du baina VPN sarbidea ukatzen zaio. Edozein kontutako pasahitz okerra autentifikazio fasean baztertzen da, ez talde arauak.

Begiratu bezeroarentzako ikusgai dagoen errorea eta zerbitzariaren erregistroa elkarrekin, bi hutsegiteak antzekoak iruditu baitaitezke konektatzen ari den pertsonarentzat. Bereizketa garrantzitsua da laguntzarako: pasahitz zuzena duen kanpoko batek talde aldaketa behar du, eta pasahitz okerrak kredentzialaren berrezarpena eskatzen du.

Mantendu bigarren saio bat irekita PAM editatzen duzun bitartean, eta egiaztatu SSH saio-hasiera arrunta ere aldaketaren ondoren. Zerbitzu dedikatuaren xedea sistemako saio-hasiera ukitu gabe egotea da, eta hori jakiteko modu bakarra probatzea da.

Zerbait apurtzen bada, berrezarri aurreko zerbitzu fitxategia kopia batetik. Nahi duzun araua erraz adierazten da: kidetzak kontua VPN sarbiderako egoki bihurtzen du, eta beste egiaztapen beharrezko guztiek indarrean jarraitzen dute.