Oibríonn fíordheimhniú LDAP OpenVPN ach teipeann ar an seiceáil ghrúpa: cá ndéanfar iniúchadh

Éiríonn leis na dintiúir, tosaíonn an tollán ag ardú, agus ansin teipeann ar an seisiún le teachtaireacht faoin ngrúpa seachas faoin bhfocal faire. Cuireann an meascán sin an locht sa dara leath de obair an bhreiseáin LDAP: d’éirigh leis an gceangal agus leis an seiceáil focal faire, ach níor éirigh leis an gcinneadh ballraíochta a leanann. Léann an dá leath ón mbloc cumraíochta céanna, agus sin é an fáth gur féidir le deisiú in aon áit amháin an leath eile a fhágáil gan chur. Tosaigh ón líne loga a ainmníonn an chéim, ní ón gcuntas a bhfuilir ag tástáil leis de thaisme.

Caith leis an diúltú mar fhreagra údaraithe

Déanann an breiseán ceangal seirbhíse, cuardaíonn sé an cuntas, fíoraíonn sé an focal faire a soláthraíodh, agus ansin fiafraíonn sé an mbaineann an cuntas sin le grúpa ceadaithe. Ceithre oibríocht ar leith iad sin, agus ní bhaineann ach an ceann deiridh le grúpaí. Mar sin ní deir diúltú a thagann tar éis ceangal rathúil aon rud faoin bhfocal faire, fiú nuair a thaispeánann an cliant earráid fhíordheimhnithe ghinearálta. Is é ardú leibhéal loga an bhreiseáin sula n-athraítear an chumraíocht an rud a scarann na ceithre cinn san aschur.

Cuardaigh an mheasúnú grúpa féin. Nuair nach bhfeictear aon cheist ghrúpa ar chor ar bith, ní shroichtear an bloc údaraithe, rud a chiallaíonn de ghnáth go bhfuil treoir lasmuigh den bhloc lena mbaineann sí nó go bhfuil rogha riachtanach ar iarraidh. Nuair a fheictear an cheist agus nach dtugann sí aon rud ar ais, tá an pointe deiridh nó an scagaire ag freagairt ceist dhifriúil ón gceann a bhí i gceist agat.

Cinntigh an bhfuil ballraíocht ina cónaí sa scagaire nó i mbloc grúpa

Tá dhá fhoirm thacaithe ann, agus is é a meascadh an bealach a stopann cumraíocht oibre de bheith ag obair. Brúnn an chéad cheann ballraíocht isteach i gcuardach úsáideora trí thréith a iarraidh ar an réad úsáideora; fágann an dara ceann cuardach úsáideora mar atá agus tugann sé ar an mbreiseán réad an ghrúpa a lorg ina dhiaidh sin. Roghnaigh ceann amháin in aghaidh gach imscartha agus scríobh síos cé acu a roghnaigh tú.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(&(sAMAccountName=%u)(memberOf=CN=VPN Access,OU=Groups,DC=example,DC=org))"
    RequireGroup false
</Authorization>

Leis an bhfoirm sin cinneann an scagaire gach rud, mar sin caithfidh RequireGroup a bheith false nó téann an breiseán ag lorg réad grúpa nár luaigh an scagaire riamh. Caithfidh an tréith sa scagaire a bheith ann ar an réad úsáideora agus a bheith líonta, rud nach bhfuil ráthaithe nuair a bhíonn grúpaí neadaithe.

Coinníonn an fhoirm eile an cuardach simplí agus cuireann sí cuardach grúpa leis ina dhiaidh. Ainmnítear réad an ghrúpa go sainráite, agus déanann an breiseán an t-úsáideoir a chur i gcomparáid leis na baill a thugann an t-eolaire ar ais dó. Ní athraíonn aon rud i scagaire an úsáideora, rud a fhágann an fhoirm seo níos éasca le hiniúchadh nuair a bhíonn an grúpa á bhainistiú ag foireann eile.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(sAMAccountName=%u)"
    RequireGroup true
    Group        "CN=VPN Access,OU=Groups,DC=example,DC=org"
</Authorization>

Tá an dallspota roinnte: ní leathnaíonn comparáid bhallraíochta shimplí grúpaí neadaithe, mar sin teipeann ar chuntas a dtagann a rochtain trí ghrúpa tuismitheora agus an consól fós ag taispeáint na ballraíochta. Nochtann Active Directory member ar an ngrúpa, úsáideann scéimeanna eile uniqueMember, agus tugann díriú ar an tréith mhícheart toradh folamh in ionad earráide.

Roghnaigh pointe deiridh a bhfuil réad an ghrúpa ann

Cinneann an URL cén t-eolaire a n-iarrann an breiseán air, agus ní fhreagraíonn rialtóir fearainn ar phort 389 ach dá chomhthéacs ainmniúcháin féin. Freagraíonn catalóg dhomhanda ar phort 3268 don fhoraois ar fad, inléite amháin agus le sraith tréithe páirteach. Nuair a bhíonn na cuntais i bhfearann amháin agus an grúpa VPN i bhfearann eile, is féidir le ceist aonfhearainn an t-úsáideoir a aimsiú agus an bhallraíocht a chailleadh fós. Sin an cás ina réitíonn bogadh an URL chuig port na catalóige an diúltú, agus is é sin freisin an cás ina ndéanann daoine ginearálú rófhada.

Is í an tsraith tréithe páirteach an teorainn: ní féidir scagadh ar thréith nach bhfuil sa chatalóg, mar sin is féidir leis an athrú céanna imscaradh amháin a chur ag obair agus ceann eile a thabhairt ar ais folamh. Deimhnigh cad a thugann an pointe deiridh ar ais don úsáideoir agus don ghrúpa fíor sula n-athscríobhann tú an bloc. Is ábhair ar leith iad atreoruithe agus TLS arís, ós rud é go gcaithfear atreoir a leanúint agus go dteastaíonn na comhaid mhuiníne chomhfhreagracha ó phointe deiridh a éilíonn TLS.

Coinnigh staid an chuntais agus scóip an chuardaigh ina réimsí féin

Baineann an bratach díchumasaithe leis an scagaire, ní leis an tseiceáil ghrúpa. In Active Directory is é an dara giotán de userAccountControl é, agus gan an coinníoll sin fíordheimhníonn cuntas díchumasaithe le focal faire bailí agus teipeann sé ansin ag céim an ghrúpa, rud a fhéadann breathnú cosúil le fabht údaraithe. Baineann scóip an chuardaigh leis an mbun-DN, mar tá tosú ag fréamh an fhearainn níos moille agus féadann sé réada lasmuigh den aonad eagraíochtúil a raibh tú ag iarraidh a chlúdach a mheaitseáil.

Coinnigh cearta an chuntais cheangail cúng freisin. Iompaíonn cearta leathana eolaire scagaire mhíchumraithe ina cheist rathúil agus ceileann siad an fabht go ndéanann duine éigin an cuntas a iniúchadh. Athraigh ballraíocht san eolaire féin, riamh i liosta eisceachta áitiúil, ionas gur leor an cuntas a dhíchumasú chun rochtain a bhaint. Má tá an grúpa á bhainistiú ag foireann eile, aontaigh ar an tréith a líonann siad sula scríobhann tú scagaire ina coinne.

Cruthaigh an toradh le trí chuntas

Rith an chumraíocht in aghaidh trí chéannacht: ball ceadaithe, cuntas bailí lasmuigh den ghrúpa agus cuntas atá díchumasaithe. Má dhiúltaítear don triúr, tá an ceangal nó an cheist ghrúpa briste; má ghlactar leis an triúr, ní chuirtear aon choinníoll grúpa i bhfeidhm ar chor ar bith. Is é toradh measctha an t-aon toradh a chruthaíonn go ndéanann an chumraíocht idirdhealú idir na cásanna ar mian leat.

Léigh na trí fhreagra chéanna go díreach ón eolaire sula gcuireann tú an milleán ar an mbreiseán. Taispeánann an chéad cheist an tréith ghrúpa a bhfuil an scagaire ag brath uirthi, agus taispeánann an dara ceann luach rialaithe an chuntais. Cuir do bhun-DN, do chuntas agus do phointe deiridh féin ina n-ionad:

ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=alice)" memberOf
ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=bob)" userAccountControl

Is fíric eolaire é úsáideoir a dtagann memberOf ar ais folamh dó, ní fabht breiseáin, agus ciallaíonn cuntas a fhíordheimhníonn fós tar éis a dhíchumasaithe go bhfuil coinníoll rialaithe an chuntais ar iarraidh ón scagaire. Deisigh an fhianaise sin ar dtús, ansin rith an triúr-chuntas tástála arís. Coinnigh an líne loga a d’ainmnigh an chéim a theip in aice leis an athrú cumraíochta, ionas gur féidir leis an gcéad duine eile údarú a scaradh ó fhíordheimhniú gan an cuardach a athdhéanamh.