RADIUS eta OpenVPN lotzea: plugina ala script-kakoa?

Plugina oraindik gomendatzen da uneko bertsioak baino zaharragoak diren harietan, eta atzo konpilatutako zerbitzari batean huts egiten du kargatzean. Ez da bide batekin konpondu daitekeen konfigurazio-akatsa. Pluginak eta script-kakoak arazo bera maila desberdinetan konpontzen dute, eta batetik bestera aldatzeak aldatzen du zer instalatu behar den, zer exekutatzen den zerbitzari-pribilegioekin eta hutsegindako saio-hasierak benetan zer esaten dizun.

Mitoa: plugina da bide onartua

Plugina OpenVPN prozesuan kargatzen den objektu partekatua da, beraz, prozesu horrek eskaintzen duen interfazearekin bat etorri behar du. Bertsioak aldatzen dira, paketatzea aldatzen da, eta interfaze zaharrago baterako konpilatutako liburutegiak kargatzeari uko egiten dio. Zerbitzariaren konfigurazioan ezerk ezin du hutsune hori zubitu, horregatik "besterik gabe instalatu radiusplugin" aholkuak abiarazten ez den zerbitzari batekin amaitzen du.

Script-kakoa prozesutik kanpo dago. OpenVPN-ek programa bat exekutatzen du, kredentzialak ematen dizkio eta epai bat irakurtzen du. Desakoplaketa horri esker irauten du eguneraketetan zehar, eta horrek bihurtzen du zure erantzukizun modu batean plugina inoiz izan ez zen bezala.

Ez da inongo ikuspegia eraikuntzaz seguruagoa. Batek kode arrotza exekutatzen du daemonaren barruan; besteak zure kodea alboan exekutatzen du kredentzialak eskuan dituela. Galdera zuzena da bi arrisku horietatik zein kudeatu dezakezun benetan.

Zer lotzen zuen pluginak

Pluginak bere konfigurazio-fitxategia zuen RADIUS ostalariarekin, sekretu partekatuarekin, saiakera-kopuruarekin eta itxaron-denborarekin, eta zerbitzariaren konfigurazioak lerro bakarrean erreferentzia egiten zion. Kredentzialen tratamendua zerbitzariaren prozesuaren barruan geratzen zen, hau da, pasahitzak ez zuen inoiz administratzaileak ziurtatu beharreko prozesu-muga bat zeharkatu.

Kostua akoplaketa zen. OpenVPN eguneraketa bakoitzak interfaze bateraezina arriskatzen zuen, eta paketea berreraikitzen zuen banaketa bakoitzak jada bat ez datorren liburutegia sortzeko arriskua zuen. Hori gertatzen denean, hutsegitea ozena eta berehalakoa da, eta hori da diseinuaren mesede bakarra.

Horrelako plugin bat zure bertsioan oraindik kargatzen bada, gainazal operatibo txikiagoa izan daiteke. Berretsi zein interfazerentzat eraiki zen, eutsi probatu duzun bertsioari lotuta, eta hartu edozein eguneraketa proba oso bat eskatzen duen aldaketatzat, pakete-eguneraketa arruntatzat baino.

Zertan fidatzen da benetan script-kakoa

Kakoa auth-user-pass-verify eta entrega-mekanismo batekin konfiguratzen da: ingurumen-aldagaiak edo aldi baterako fitxategia. Ingurune-forman, OpenVPNek script-security 3 eskatzen du, pasahitza scriptei agerian uztea onartzen duen dokumentatutako maila. Maila hori lehenespenaren ahultze nahita da, eta justifikazioa erantsia duen baimen gisa tratatu behar da.

Scriptak ukitzen duen guztiak fidantza hori heredatzen du. root-en jabetzakoa izan behar du, ez taldeak edo besteek idaztekoa, bide absolutuz erreferentziatua eta balio ez-fidagarri bat shell batera iristen den lekurik gabea. Jarri aldagai bakoitza komatxoen artean, baztertu ustekabeko karaktereak eta ez eraiki inoiz emandako erabiltzaile-izenetik abiatuta agindurik. Saio-hasiera saiakera bakoitzean root gisa exekutatzen den scriptak berrikuspen bat merezi du, hain zuzen ere lau propietate horiengatik.

ls -l /usr/local/sbin/radius-auth.sh
stat -c '%U %a' /usr/local/sbin/radius-auth.sh

Fitxategi bidezko entrega-formak ingurumen-heredatzearen arazoa saihesten du eta kredentzialak scriptari ematen dizkio baimen murriztuak dituen aldi baterako fitxategi baten bidez. Zure bezeroak onartzen badu, normalean lehenespen hobea da, hutsegitean garbitzeko objektu bat gehiago gehitzen badu ere.

Irteera-kodeek erabakitzen dute irekian huts egingo duzun

Scriptaren irteera-egoera da epaia: zeroak onartu egiten du, zero ez denak baztertu. Arazoa sortzen duen patroia shell-script bat da, RADIUS erantzunak onarpen-token zehatz bat duenean bakarrik onartzen duena eta gainerako guztiarentzat hutsegitea itzultzen duena, horrek hiru gertaera desberdin erantzun bakarrean batzen baititu. Pasahitz okerra, iristezin den zerbitzaria eta erantzun deformatu bat bazterketa berbera bihurtzen dira.

Bereizi kasu horiek scriptan, kakoak onartu edo baztertu besterik itzultzen ez badu ere. Erregistratu backendaren emaitza bereizita, alertak piztu itxaron-denborak eta garraio-erroreak direnean, eta egin begi-bistakoa monitorizazioan autentifikazioak huts egiten duenean zerbitzua erorita dagoelako eta ez erabiltzaileek gaizki idazten dutelako.

Bi ohiturek gainerakoa zentzuz mantentzen dute. RADIUS autoritatea bada, pasahitz bat egiaztatzen den leku bakarra izan behar luke, itzal-taulak galdera bererako bi erantzun sortzen baititu eta bigarrena inork zaintzen ez duen eraso-gainazala da. Eta gogoratu kakoa berriro deitzen dela saiakera bakoitzean, beraz, script geldo bat bezero ez-egonkor batekin pasahitzak asmatzeko anplifikadorea bihurtzen da, RADIUS aldean atzerapena edo politika bat gehitzen ez baduzu.

Zertaz uzten duzun ziurtagiria desagertzen denean

Forma honetako hedapen askok bezeroaren ziurtagiriaren egiaztapena erabat desaktibatzen dute, erabiltzaile-izena eta pasahitza bezeroaren aldarrikapen oso gisa utziz. Ezarpen horrekin desagertzen dena ziurtagirian oinarritutako identitatea da. Kanala zifratuta jarraitzen du, baina bezeroa izendatzen duen gauza bakarra RADIUSen epaia da. Lehen ziurtagiriaren subjektuan oinarritzen zen edozein elementuk orain erabiltzaile-izenean oinarritu behar du.

Mantendu kontrol-kanalaren babesa, autentifikatu gabeko pare batek kakoa ez ikuskatzeko edo gainezka ez egiteko, eta erabili username-as-common-name erabiltzaile bakoitzeko konfigurazioa izen komunaren mende dagoenean. Kudeatutako atebideek askotan bestela konpontzen dute, ziurtagiri-autentifikazioa RADIUSekin EAP-TLS hitz egiten duen atebide batean amaitzen baitute, eta kasu horretan ez da zerbitzari-direktiba hauetako bat ere aplikatzen. Kopiatu zure plataformak dokumentatzen duen eredua, ez alboko produktu batena. Garrantzitsuak diren direktibak nahikoa desberdinak dira elkarrekin nahasteak parseatzen den eta gero inor autentifikatzen ez duen konfigurazio bat ematen duela.