Kontofergrendeling tsjin adresferbod: wêr’t OpenVPN echt telt

In adres blokkearje en in konto fergrendelje binne twa ferskate meganismen, en se mislearje yn tsjinoerstelde rjochtingen. In adresferbod stopet ien boarne en lit it doelkonto fan oare plakken berikber; in kontofergrendeling stopet dy identiteit oeral, ek op ’e laptop fan ’e brûker sels.

Foar in VPN dy’t autentikaasje oan PAM oerdraacht, is de teller dat wêr’t de PAM-stapel berikt, net dat wat de harker logde.

Twa tellers, twa ferskate slachtoffers

In faasbegrenzer sjocht nei in boarne en freget hoefolle besykjen der koartlyn fan kamen. In fergrendeling sjocht nei in identiteit en freget hoefolle mislearrings dat konto sammele hat. De earste beskermet beskikberens, de twadde de oanmeldgegevens; gjinien ferfangt de oare.

Dêrom is de sin wy blokkearje it IP nei fiif mislearrings gjin antwurd op in rapport oer it foljen fan oanmeldgegevens. De oanfaller wikselet boarnen, elk krijt pear besykjen, en it konto wurdt nea teld. Omkeard lit in fergrendeling sûnder boarnekontrôle de oanfaller it konto ûnbeheind fergrindele hâlde troch mei opsetsin te mislearjen.

De beide kontrôles hawwe ek ferskate ferhalen oer weromsetten. In adresferbod ferrint op in timer dêr’t nimmen oan tinke moat; in kontofergrendeling kin in behearder, in dokumintearre wachtperioade of in selsbetsjinning weromsette fereaskje.

Fyn it opslachplak dat de telling al hat

Foardat jo wat tafoegje, sjoch út oft d’r al in opslachplak foar mislearrings is. In lokaal Linux-konto, in mapstsjinst en in eksterne identiteitsleveransier hâlde elk har eigen telling, en in PAM-module derfoar makket in twadde yn stee fan ’e earste út te wreidzjen.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Lês it tsjinstbestân dat de VPN echt neamt en folgje de ynfoegregels. By in protte distribúsjes foeget de VPN-tsjinst in mienskiplik bestân ta, wat betsjut dat de telling dy’t jo ôfstimme ek jildt foar SSH en lokale oanmeldingen.

As de mapstsjinst al in fergrendeling ôftwingt, is de nuttige fraach hoe’t it PAM-petear dat beslút berikt en hoe’t de VPN it rapportearret. In lokale telling derboppe wurdt net de teller fan ’e mapstsjinst, en de beide beliedsregels kinne it net iens wêze oer wannear’t it konto iepengiet.

pam_faillock hat trije opropsteeën, net ien

De module skiedt trije bewurkingen dy’t ien kopiearre rigel meast fertroebellet: kontrôlesjen oft it konto al fergrindele is, in mislearring fêstlizze en de skiednis nei in súkses wiskje.

Hjir giet in migraasje fan in âldere tellermodule meast mis. In rigel kopiearje út in wurkjend pam_tally2-foarbyld yn in pam_faillock-stapel is gjin omneamen; de dokumintearre opset is oars, en in ferkeard pleatst oprop kin mislearrings fêstlizze sûnder se ea te kontrôlesjen.

faillock --user alice
faillock --user alice --reset

It ynspeksje-ark is de fluchste manier om te sjen oft de teller echt is: it lit de fêstleine mislearrings fan in konto sjen en kin se wiskje. As in kontrolearre mislearring dy útfier net feroaret, is it opropstee ferkeard.

In eigen tsjinstnamme is gjin isolaasje

De VPN syn eigen PAM-tsjinstbestân jaan makket it bedoelde belied sichtber, mar beheint it effekt net. Eltse ynfoeging fan in mienskiplik bestân hellet mei wat dat bestân docht, ynklusyf tellings foar it hiele systeem.

Beslis dúdlik oft de fergrendeling allinnich VPN-tagong dekt of elk tsjinst dat itselde konto autentisearret. Beide antwurden binne ferdigenber; de flater is te leauwen dat jo ien keazen hawwe wylst de stapel de oare útfiert.

Nim dan de kosten yn acht. In oanfaller kin de fergrendeling feroarsaakje, en de brûker dy’t lijt is de eigner fan it konto. Drompel, wachtperioade en it bestjoerlike weromsetpaad binne part fan it belied, en it weromsetten mei net ôfhingje fan it opnij ynstellen fan ’e VPN by in ynsidint.

Akseptearje de folchoarder, net ien wegere

Test mei oanwiisde identiteiten neffens in goedkard plan, en test in keatling yn stee fan ien barren: in jildich konto autentisearret, in mei opsetsin ferkeard wachtwurd ferpleatst de teller, de ynstelde fergrendeling giet yn, en it dokumintearre weromsetten jout tagong werom.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Sjoch like soarchfâldich nei it súksesgedrach as nei it mislearringsgedrach. As in slagge oanmelding de skiednis net wiskt, sil in konto fergrindelje nei in stadige opheaping fan gewoane flaters. As it alles út elk tsjinst wiskt, is de teller swakker as it belied beweart.

Stop úteinlik net-besjoene kliïnten foardat jo de oerwinning ferklearje. In bewarre oanmeldgegevens dy’t efter de skermen opnij besiket, makket minuten nei in weromsetten wer mislearrings en fergrendellet it konto opnij. Faasbegrenzing op boarne kin as ekstra kontrôle bliuwe, mar it is net it kontobelied.