Glasáil cuntais nó cosc seoltaí: cá gcomhaireann OpenVPN i ndáiríre

Is dhá mheicníocht éagsúla iad seoladh a chosc agus cuntas a ghlasáil, agus teipeann siad sa treo eile. Stopann cosc seoltaí foinse amháin agus fágtar an cuntas sprice inrochtana ó áit eile; stopann glasáil cuntais an fhéiniúlacht sin i ngach áit, fiú ar ríomhaire glúine an úsáideora féin.

I gcás VPN a tharmligeanann an fhíordheimhniú chuig PAM, is é an comhaireamh an rud a shroicheann an chruach PAM, ní an rud a logáil an t-éisteoir.

Dhá chomhaireamh, dhá íospartach éagsúla

Féachann teorannóir ráta ar fhoinse agus fiafraíonn sé cé mhéad iarracht a tháinig uaithi le déanaí. Féachann glasáil ar fhéiniúlacht agus fiafraíonn sé cé mhéad teip atá carntha ag an gcuntas sin. Cosnaíonn an chéad cheann infhaighteacht an tseirbhís, agus an dara ceann an dintiúr; ní thagann ceachtar in ionad an chinn eile.

Sin é an fáth nach freagra é an abairt cuirimid bac ar an IP tar éis cúig theip ar thuarascáil faoi líonadh dintiúr. Athraíonn an t-ionsaitheoir foinsí, faigheann gach ceann cúpla iarracht, agus ní chomhairtear an cuntas riamh. Os a choinne sin, ligeann glasáil gan smacht foinse don ionsaitheoir an cuntas a choinneáil glasáilte gan teorainn trí theip a dhéanamh d’aon ghnó.

Tá scéalta aisghabhála éagsúla ag an dá rialú freisin. Éagann cosc seoltaí ar amadóir nach gá d’aon duine smaoineamh air; d’fhéadfadh glasáil cuntais riarthóir, tréimhse feithimh dhoiciméadaithe nó athshocrú féinseirbhíse a bheith ag teastáil.

Aimsigh an stór a shealbhaíonn an comhaireamh cheana

Sula gcuireann tú aon rud leis, faigh amach an bhfuil stór teipeanna ann cheana féin. Coinníonn cuntas Linux áitiúil, seirbhís eolaire agus soláthraí féiniúlachta seachtrach a gcomhaireamh féin, agus cruthaíonn modúl PAM os a gcomhair an dara ceann in ionad an chéad cheann a leathnú.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Léigh an comhad seirbhíse a ainmníonn an VPN i ndáiríre agus lean a línte cuimsithe. I go leor dáiltí cuimsíonn seirbhís an VPN comhad comhroinnte, rud a chiallaíonn go mbaineann an comhaireamh atá á choigeartú agat le SSH agus le logáil isteach áitiúil freisin.

Má chuireann an t-eolaire glasáil i bhfeidhm cheana féin, is é an cheist úsáideach conas a shroicheann comhrá PAM an cinneadh sin agus conas a thuairiscíonn an VPN é. Ní thiocfaidh comhaireamh áitiúil os a chionn ina chomhaireamh don eolaire, agus d’fhéadfadh an dá bheartas easaontú faoi cathain a osclaítear an cuntas.

Tá trí shuíomh glao ag pam_faillock, ní ceann amháin

Scarann an modúl trí oibríocht a dhéanann aon líne chóipeáilte a cheilt go minic: seiceáil an bhfuil an cuntas glasáilte cheana, teip a thaifeadadh agus an stair a ghlanadh tar éis rath.

Seo é an áit a dtéann imirce ó mhodúl comhairimh níos sine amú go minic. Ní hé atá i líne a chóipeáil ó shampla pam_tally2 atá ag obair isteach i gcruach pam_faillock ná athainmniú; tá an chumraíocht dhoiciméadaithe difriúil, agus féadfaidh glao míshuite teipeanna a thaifeadadh gan iad a sheiceáil riamh.

faillock --user alice
faillock --user alice --reset

Is é an t-uirlis iniúchta an bealach is tapúla le feiceáil an bhfuil an comhaireamh fíor: taispeánann sé na teipeanna taifeadta do chuntas agus féadfaidh sé iad a ghlanadh. Mura n-athraíonn teip rialaithe an t-aschur sin, tá suíomh an ghlao mícheart.

Ní hé ainm seirbhíse tiomnaithe ná leithlisiú

Déanann comhad seirbhíse PAM dá chuid féin don VPN an beartas beartaithe a dhéanamh infheicthe, ach ní theorannaíonn sé an éifeacht. Tarraingíonn aon chuimsiú de chomhad comhroinnte isteach a ndéanann an comhad sin, lena n-áirítear comhairimh don chóras ar fad.

Socraigh go sainráite an gclúdaíonn an ghlasáil rochtain VPN amháin nó gach seirbhís a fhíordheimhníonn an cuntas céanna. Tá an dá fhreagra inchosanta; is é an mhainneachtain a chreidiúint gur roghnaigh tú ceann amháin agus an chruach ag cur an chinn eile i bhfeidhm.

Ansin cuir an costas san áireamh. Féadann ionsaitheoir an ghlasáil a spreagadh, agus is é úinéir an chuntais an t-úsáideoir a fhulaingíonn. Tá an tairseach, an tréimhse feithimh agus an cosán aisghabhála riaracháin mar chuid den bheartas, agus ní fhéadfaidh an aisghabháil brath ar an VPN a athchumrú le linn teagmhais.

Glac leis an seicheamh, ní le diúltú amháin

Tástáil le féiniúlachtaí ainmnithe faoi phlean ceadaithe, agus tástáil slabhra seachas teagmhas amháin: déanann cuntas bailí fíordheimhniú, bogann focal faire mícheart d’aon ghnó an comhaireamh, tagann an ghlasáil chumraithe i bhfeidhm, agus tugann an aisghabháil dhoiciméadaithe an rochtain ar ais.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Féach ar iompar an ratha chomh cúramach le hiompar na teipe. Mura nglanann logáil isteach rathúil an stair, glasáilfear cuntas tar éis carnadh mall ar ghnáth-earráidí. Má ghlanann sé gach rud ó gach seirbhís, tá an comhaireamh níos laige ná mar a mhaíonn an beartas.

Ar deireadh, stop na cliaint gan mhaoirseacht sula bhfógraíonn tú bua. Athchruthóidh dintiúr sábháilte a dhéanann iarracht arís sa chúlra na teipeanna cúpla nóiméad tar éis aisghabhála agus glasálfaidh sé an cuntas arís. Féadann teorannú ráta bunaithe ar fhoinse fanacht mar riail bhreise, ach ní hé beartas an chuntais é.