OpenVPN PAM: is seirbhís é an t-argóint logála isteach, ní úsáideoir

Cuireadh úsáideoir leis an bhfreastalaí, clóscríobhadh an focal faire i gceart, agus críochnaíonn an nasc le AUTH_FAILED fós. Míníonn líne an bhreiseáin an fáth de ghnáth: is ainm seirbhíse PAM é an focal tar éis chonair an bhreiseáin, agus socraíonn sé cén stac modúl a fhreagraíonn an cheist. Ní hainm úsáideora é, agus ní pointeoir chuig comhad focal faire é a léann OpenVPN féin.

Cad a roghnaíonn an dara focal

Glacann an líne chumraíochta conair bhreiseáin agus aon argóint amháin:

plugin /usr/lib/openvpn/plugins/openvpn-plugin-auth-pam.so openvpn

Cuirtear an argóint sin chuig leabharlann PAM mar ainm na seirbhíse, rud a fhágann gurb é an stac ag /etc/pam.d/openvpn an ceann a ritheann. Scríobh login ansin agus faigheann tú an beartas logála isteach idirghníomhach ina ionad, le cibé modúil a chuireann an beartas sin san áireamh ar do dháileadh.

Úsáid conair an bhreiseáin a sholáthraíonn an pacáiste suiteáilte seach conair a cóipeáladh ó óstrálaí eile. Bíonn an t-ainm comhaid agus an comhadlann difriúil idir dáiltí, agus teipeann ar chonair mhícheart ag an tús le hearráid luchtaithe breiseáin, ní ag an bhfíordheimhniú.

Cá léann an stac cuntais i ndáiríre

Seoltóir is ea PAM. Liostaíonn an comhad seirbhíse modúil in ord, agus socraíonn an chéad cheann ar féidir léi freagairt an toradh. Léann stac a ghlaonn ar pam_unix cuntais áitiúla; seolann stac a ghlaonn ar mhodúl LDAP nó RADIUS na dintiúir áit éigin eile ar fad.

Léigh an comhad a réitíonn ainm na seirbhíse leis, lena n-áirítear aon rud a chuireann sé san áireamh:

cat /etc/pam.d/openvpn
grep -H pam_ /etc/pam.d/openvpn /etc/pam.d/common-auth

Má tharmligeanann an stac chuig eolaire, ní athraíonn cur le cuntas áitiúil aon rud. Má léann sé cuntais áitiúla, ní athraíonn cruthú an úsáideora san eolaire aon rud ach an oiread. Caithfidh an cuntas a bheith ann san áit a bhféachann an stac, agus sin an diagnóis iomlán i bhformhór na dtuairiscí seo.

Iarracht amháin, dhá loga

Comhghaolaigh aon nasc amháin a theip ar an dá thaobh. Taispeánann loga OpenVPN toradh an bhreiseáin agus diúltú an chliaint; taispeánann loga fíordheimhnithe an chórais cén modúl a rith agus cad a shocraigh sé. Is é a léamh san fhuinneog ama chéanna a scarann comhad seirbhíse ar iarraidh ó am istigh an chúlaí. Ciallaíonn bearna sa loga fíordheimhnithe nár sroicheadh an stac ar chor ar bith.

journalctl -u openvpn-server@server --since "-2 min"
journalctl -t sshd -t sudo --since "-2 min"

Tástáil an tseirbhís go díreach le huirlis a labhraíonn PAM, ionas nach mbeidh tú ag dífhabhtú an VPN agus an stoic ag an am céanna. Cúngaíonn tástáil dhíreach rathúil leis an ainm seirbhíse agus an cuntas céanna an fhadhb chuig an gcaoi a dtugann an daemon dintiúir ar aghaidh, ní chuig an cuntas féin.

pamtester openvpn alice authenticate

Má theipeann ar an tástáil dhíreach leis na dintiúir chéanna a oibríonn ar chonsól, níl an stac ag léamh na foinse cuntas a ghlac tú léi. Má éiríonn léi, féach ar an gcomhrá a ritheann an breiseán agus ar an méid a sheol an cliant i ndáiríre. Rith é uair amháin le focal faire mícheart a thoiligh tú freisin, ionas go bhfeicfidh tú an difríocht idir diúltú agus earráid mhodúil. Breathnaíonn an dá thoradh sin go hiomlán mar an gcéanna i loga an VPN agus go hiomlán difriúil anseo.

Is fearr seirbhís thiomnaithe ná an logáil isteach a eagrú

Tabhair a chomhad seirbhíse féin don VPN nuair a bhíonn a riachtanais difriúil ó logáil isteach idirghníomhach, rud a dhéanann siad de ghnáth. Athraíonn eagrú login nó common-auth an beartas do gach clár a áiríonn iad, agus faigheann an chéad duine eile a dhéanann dífhabhtú ar fhadhb logála isteach neamhghaolmhar do mhíniú.

Cóipeáil na modúil a theastaíonn uait isteach i gcomhad seirbhíse beag, coinnigh an t-ordú follasach, agus tabhair faoi deara cé leis é. Is é an comhad sin an rud le seiceáil nuair a fheictear go bhfuil athshocrú focal faire gan éifeacht.

Cad a sheolann an cliant, agus cad nach seolann sé

Soláthraíonn an cliant ainm úsáideora agus focal faire trína leid nó trína chomhad a thacaítear leis. Tugann breiseán an fhreastalaí na luachanna sin isteach i gcomhrá PAM; ní léann sé iad ó chumraíocht an fhreastalaí. Ní dhéanann líne ar thaobh an fhreastalaí a bhféachann sí le focal faire a shainmhíniú é sin, agus ní chruthóidh aon eagrú próifíle cuntas.

Is féidir ainm úsáideora agus focal faire a bheith ann taobh leis na teastais chliaint, agus ní cúis é PAM a chumasú chun stopadh de theastais a fhíorú. Coinnigh na sraitheanna a bhí beartaithe ag an imscaradh agus deisigh foinse na gcuntas amháin.

Tá glacadh déthaobhach: éiríonn leis an gcuntas beartaithe, agus teipeann fós ar chuntas ar chóir diúltú dó. An README an bhreiseáin auth-pam déanann sé doiciméadú ar an argóint seirbhíse agus ar na cúlbhail a bhféadfadh sí seasamh os a gcomhair, agus is é sin an áit chun an socrú atá á thógáil agat a dheimhniú.