OpenVPN-oanmeldingen beheine ta ien groep mei in PAM-belied

Hâld elk akkount by steat om normaal oan te melden, mar lit mar ien groep de VPN brûke. PAM kin dat ferskil útdrukke sûnder in twadde wachtwurdopslach, en de OpenVPN-ynstekker kin rjochte wurde op in tsjinst dy't allinnich de kontrôles befettet dy't jo bedoele. De trúk is om dy tsjinst te bouwen sûnder by ûngelok in systeemwide stapel te ervjen.

De rûnlieding hjir begjint by de tsjinstnamme fan de ynstekker, bout in belied en testet dan de trije útkomsten dy't ta sizze: in lid, in bûtensteander mei in jildich wachtwurd en in minne legitimasaasje.

Wêrom in aparte PAM-tsjinst

De auth-pam-ynstekker nimt in tsjinstnamme as argumint. Dy namme kiest in bestân ûnder /etc/pam.d, en de stapel yn dat bestân is wat by in VPN-oanmelding rint. As jo deselde namme jouwe dy't in systeemwide oanmelding brûkt, ervje jo elk beslút yn dy stapel, ek dy't letter om net besibbe redenen tafoege binne.

Meitsje ynstee in aparte tsjinst. Begjin by in wurkjende stapel dy't al ferifiearret tsjin de bedoelde backend, lykas in pleatslik wachtwurdbestân, SSSD of in gidsstsjinst, en foegje dan de geskiktheidsregel ta. Twa rigels yn in leech bestân kopiearje is de gewoane flater: wachtwurdferfolling, akkountsluting en oare kontrôles kinne yn 'e stapel sitte dy't jo net kopiearre hawwe.

It skieden fan 'e tsjinst beheint ek de skea. In allinnich-VPN-regel yn in dielde stapel kin SSH- of konselje tagong foar elkenien wegerje, wat in tagongsferoaring yn in steuring feroaret.

De groepsregel skriuwe

De geskiktheidskontrôle heart yn 'e akkountfaze, nei't de legitimasaasje ferifiearre is. In regel lykas account required pam_succeed_if.so user ingroup vpnusers lit ferwurking allinnich trochgean wannear't de ferifiearre brûker lid is fan dy groep.

Dy rigel is in fragmint, net in folsleine tsjinst. Yntegrearje it dêr't elk akseptearre paad it berikt, en kontrolearje de bestjoeringsflaggen deromhinne. In sufficient- of sprangkontrôle earder yn 'e stapel kin de ferwurking einige foardat jo regel rint, wat de beheining yn in foarstel feroaret.

Foegje use_uid net út gewoante ta. Sûnder dat evaluearret de module de brûker dy't ferifiearre wurdt; dermei evaluearret de module it akkount dêr't it OpenVPN-proses ûnder rint, dat normaalwei root of in tsjinstakkount is en dus net de persoan dy't oanmeldt.

Groepslidmaatskip komt fan 'e identiteitsoplossing fan it systeem, net fan in namme dy't jo werkennen. Foar gidsbrûkers, befêstigje dat deselde backend groepsfragen foar dy brûker beantwurdet, want in pleatslike groep mei in fertroude namme is in oar objekt as de gidsgroep mei deselde namme.

Fallinnen fan oarder en identiteit

Pleats de groepsregel nei de ferifikaasjestapel en nei elke kontrôle dy't noch jilde moat, mar foar of njonken de akkountkontrôles dy't jo hâlde. PAM evaluearret modules yn bestânsfolchoarder, en de bestjoeringswearde op elke rigel beslút oft in flater definitief is.

Pas op foar dûbele stapels. In gewoan patroan is in ynklúzje dy't al in akkountregel befettet, folge troch jo eigen groepsregel, wat twa besluten jout wêr't jo ien ferwachte. Lês it ynkludearre bestân, net allinnich dat jo bewurke hawwe. In flugge manier om de effektive oarder te sjen is it bestân fan boppe nei ûnderen te lêzen en elke bestjoeringswearde te notearjen.

Hâld de oare talittingsbetingsten yntakt. In slagge wachtwurd ferfangt gjin sertifikaatkontrôles, in twadde faktor of autorisaasje nei ferbining, en dit belied is gjin ferfanging foar ien fan har. It beslút allinnich oft it akkount geskikt is om foar VPN-tagong beskôge te wurden.

Leden, bûtensteanders en minne wachtwurden testen

Test trije gefallen foardat jo it belied klear achtsje. In lid ferbynt mei súkses. In jildich akkount bûten de groep ferifiearret syn wachtwurd mar wurdt VPN-tagong wegere. In ferkeard wachtwurd foar ien fan beide akkounts wurdt by de ferifikaasjefaze ôfwiisd, net troch de groepsregel.

Besjoch de kliïnt-sichtbere flater en it tsjinnerloch tegearre, want beide flaters kinne foar de persoan dy't ferbynt itselde lykje. It ferskil is wichtich foar stipe: in bûtensteander mei it juste wachtwurd hat in groepsferoaring nedich, wylst in ferkeard wachtwurd in weromsetten fan 'e legitimasaasje fereasket.

Hâld in twadde sesje iepen wylst jo PAM bewurkje, en ferifiearje nei de feroaring ek gewoane SSH-oanmelding. It punt fan 'e aparte tsjinst is dat systeemoanmelding ûnbeynfloede bliuwe moat, en de iennige manier om dat te witten is it te testen.

As der wat stikken giet, restaurearje it foarige tsjinstbestân fan in kopy. De regel dy't jo wolle is ienfâldich te sizzen: lidmaatskip makket in akkount geskikt foar VPN-tagong, en elke oare fereaske kontrôle jildt noch altyd.