Srian a chur le logálacha OpenVPN chuig grúpa amháin le polasaí PAM

Coinneáil gach cuntas in ann logáil isteach go normal, ach ná lig ach do ghrúpa amháin an VPN a úsáid. Is féidir le PAM an difríocht sin a chur in iúl gan dara stór focal faire, agus is féidir breiseán OpenVPN a dhíriú ar sheirbhís nach bhfuil inti ach na seiceálacha atá beartaithe agat. Is é an cleas an tseirbhís sin a thógáil gan cruach córais a oidhreacht trí thimpiste.

Tosaíonn an siúlóid seo ó ainm seirbhíse an bhreiseáin, tógann polasaí, agus ansin tástáileann sí na trí thoradh a bhfuil tábhacht leo: ball, eachtrannach le focal faire bailí, agus dintiúr dona.

Cén fáth seirbhís PAM ar leith

Glacann breiseán auth-pam ainm seirbhíse mar a argóint. Roghnaíonn an t-ainm sin comhad faoi /etc/pam.d, agus is é an cruach sa chomhad sin a ritheann le linn logáil VPN. Má chuireann tú an t-ainm céanna a úsáideann logáil chórais ar aghaidh, faigheann tú gach cinneadh sa chruach sin le hoidhreacht, lena n-áirítear iad siúd a cuireadh leis níos déanaí ar chúiseanna neamhghaolmhara.

Cruthaigh seirbhís thiomnaithe ina ionad. Tosaigh ó chruach oibre a dhéanann fíordheimhniú cheana féin i gcoinne an backend atá beartaithe, ar nós comhad focal faire áitiúil, SSSD nó seirbhís eolaire, agus ansin cuir an riail incháilitheachta leis. Is é an botún coitianta dhá líne a chóipeáil isteach i gcomhad folamh: féadfaidh dul in éag focal faire, glasáil cuntais agus seiceálacha eile a bheith sa chruach nár chóipeáil tú.

Cuireann scaradh na seirbhíse teorainn leis an damáiste freisin. Is féidir le riail VPN-amháin i gcruach roinnte rochtain SSH nó consóil a dhiúltú do gach duine, rud a iompaíonn athrú rochtana ina chliseadh.

An riail grúpa a scríobh

Baineann an tseiceáil incháilitheachta leis an gcéim chuntais, tar éis an dintiúr a fhíorú. Ligeann riail ar nós account required pam_succeed_if.so user ingroup vpnusers don phróiseáil leanúint ar aghaidh ach amháin nuair atá an t-úsáideoir fíordheimnithe ina bhall den ghrúpa sin.

Is blúire an líne sin, ní seirbhís iomlán. Comhtháthaigh í san áit a sroicheann gach cosán glactha í, agus seiceáil na bratacha rialaithe timpeall uirthi. Is féidir le sufficient nó rialú léime níos luaithe sa chruach deireadh a chur leis an bpróiseáil sula ritheann do riail, rud a iompaíonn an srian ina mholadh.

Ná cuir use_uid leis de ghnáth. Gan é measann an modúl an t-úsáideoir atá á fhíordheimhniú; leis measann an modúl an cuntas faoina ritheann próiseas OpenVPN, arb é root nó cuntas seirbhíse de ghnáth agus dá bhrí sin ní hé an duine atá ag logáil isteach.

Tagann ballraíocht ghrúpa ó réiteach féiniúlachta an chórais, ní ó ainm a aithníonn tú. I gcás úsáideoirí eolaire, deimhnigh go bhfreagraíonn an backend céanna d'fhiúntais ghrúpa don úsáideoir sin, mar is réad difriúil é grúpa áitiúil le hainm eolach ná grúpa eolaire den ainm céanna.

Gaistí oird agus féiniúlachta

Cuir an riail grúpa tar éis an chruaigh fhíordheimhnithe agus tar éis aon seiceála nach mór a bheith i bhfeidhm fós, ach roimh na seiceálacha cuntais a choimeádann tú nó ina dteannta. Measann PAM modúil in ord comhaid, agus cinneann luach rialaithe gach líne an bhfuil teip críochnaitheach.

Bí ag faire ar chruacha dúbailte. Patrún coitianta is ea ionchorprú ina bhfuil riail cuntais cheana féin, agus do riail ghrúpa féin ina dhiaidh, rud a tháirgeann dhá chinneadh san áit a raibh súil agat le ceann amháin. Léigh an comhad ionchorpraithe, ní hamháin an ceann a chuir tú in eagar. Bealach tapa chun an t-ord éifeachtach a fheiceáil is ea an comhad a léamh ó bhun go barr agus gach luach rialaithe a thabhairt faoi deara.

Coinnigh na riachtanais iontrála eile slán. Ní thagann focal faire rathúil in áit seiceálacha teastais, dara fachtóir ná údarú iar-naisc, agus ní hionann an polasaí seo agus aon cheann acu. Ní chinneann sé ach an bhfuil an cuntas incháilithe le breithniú le haghaidh rochtana VPN.

Baill, eachtrannaigh agus focail faire mhíchearta a thástáil

Tástáil trí chás sula measfaidh tú an polasaí críochnaithe. Ceanglaíonn ball go rathúil. Déanann cuntas bailí lasmuigh den ghrúpa a fhocal faire a fhíordheimhniú ach diúltaítear rochtain VPN dó. Diúltaítear d'fhocal faire mícheart do cheachtar cuntas ag an gcéim fhíordheimhnithe, ní de réir riail an ghrúpa.

Féach ar an earráid atá le feiceáil ag an gcliant agus ar log an fhreastalaí le chéile, mar is féidir leis an dá theip breathnú cosúil don duine atá ag ceangal. Tá an t-idirdhealú tábhachtach don tacaíocht: teastaíonn athrú grúpa ó eachtrannach a bhfuil an focal faire ceart aige, agus teastaíonn athshocrú dintiúir ó fhocal faire mícheart.

Coinnigh an dara seisiún oscailte agus tú ag cur PAM in eagar, agus fíoraigh gnáthlogáil SSH tar éis an athraithe freisin. Is é pointe na seirbhíse tiomnaithe nár cheart do logáil an chórais a bheith faoi thionchar, agus is é an t-aon bhealach chun é sin a fháil amach ná é a thástáil.

Má bhristear rud éigin, cuir an comhad seirbhíse roimhe ar ais ó chóip. Tá an riail a theastaíonn uait simplí le rá: déanann ballraíocht cuntas incháilithe le haghaidh rochtana VPN, agus tá gach seiceáil riachtanach eile i bhfeidhm fós.