Ní dhá fhachtóir iad dhá sheiceáil logála: VPN agus RADIUS

Mothaíonn sé cosúil le dara fachtóir a chur le geata VPN nuair a chuirtear dara cúlsheirbhís fhíordheimhniúcháin leis. De ghnáth cuireann sé dara seiceáil leis, rud atá ina rud difriúil le módanna teipe difriúla. Cé acu an gcaithfidh an dá rud éirí, cad a chruthaíonn gach ceann agus cad a tharlaíonn nuair nach bhfuil ceann ar fáil, is trí chinneadh ar leith iad. Má dhéantar iad mícheart, bíonn an geata níos déine sa léiriú agus níos laige le linn briste.

Cad a chruthaíonn dara cúlsheirbhís i ndáiríre

Cruthaíonn cuardach cuntais áitiúil go bhfuil ainm i mbunachar sonraí agus gur fhreagair focal faire dó. Cruthaíonn malartú RADIUS gur fhill freastalaí RADIUS Access-Accept do na tréithe a fuair sé. Ní luann ceachtar de na ráitis cineál fachtóra, mar fíoraíonn an dá cheann eolas. Agus comhaireann treoir NIST um aitheantas digiteach cineálacha fachtóra ar leith agus a bhfíordheimhnitheoirí, ní freastalaithe ná leideanna.

Tá dearadh dlisteanach ann ina bhfuil an dá chóras rannpháirteach. Is féidir le seirbhís lárnach an duine a fhíordheimhniú agus seiceálann an geata go neamhspleách an bhfuil teideal ag an gcuntas sin don tollán seo. Is údarú é sin in aice le fíordheimhniú, agus má thugtar dhá fhachtóir air measctar seiceáil beartais le cruthú seilbhe.

Is féidir le RADIUS dara fachtóir fíor a iompar nuair a sheasann sé roimh rud a fhíoraíonn ceann, ar nós ceadú brú nó comhartha crua-earraí. Ní insíonn an clúdach cé na fíordheimhnitheoirí a thaispeáin an t-úsáideoir, mar sin léigh beartas na cúlsheirbhíse seach lipéad an gheata.

Is táirgí difriúla iad AND, OR agus aisghabháil

Sula gcuirtear cur i bhfeidhm i gcomparáid, socraigh cad a chiallaíonn an dá rud i do riachtanas. Éilíonn beartas AND go n-éireodh le gach seiceáil ainmnithe, glacann beartas OR leis an gceann a n-éireoidh leis, agus ní thriailfidh aisghabháil an dara ceann ach faoi choinníollacha teipe sonraithe. Iompraíonn an triúr seo go contrártha le linn briste, agus de ghnáth ní bhíonn ach ceann acu mar an rud a bhí beartaithe ag an athbhreithniú.

Ní nochtann dhá iontráil chúlsheirbhíse ar scáileán cumraíochta cén beartas a chuireann an táirge i bhfeidhm. Sreangaíonn roinnt geataí breiseáin in ord agus stopann siad ag an gcéad diúltú, rud nach bhfuil AND ach amháin nuair a bhíonn gach breiseán riachtanach. Caitheann cinn eile le cuntas áitiúil mar sháraíocht, rud a dhéanann briste lárnach ina sheachbhóthar. Is é an freagra iontaofa ná tástáil dhiúltach dhoiciméadaithe do gach cosán, arna rith i gcoinne an build a imscartar.

Tá aisghabháil tuillte ag an amhras is mó, mar tá sí ann chun leanúint ag obair nuair atá rud éigin briste. Tá aisghabháil a ghlacann le focal faire áitiúil aon uair nach bhfuil RADIUS inrochtana tar éis beartas lárnach a iompú ina dara doras níos laige.

Is cás coincréiteach é seiceáil dhúbailte OpenVPN

Éilíonn OpenVPN pobail 2.6 teastas cliaint agus an script auth-user-pass-verify cumraithe araon nuair a bhíonn an dá rud cumasaithe. Is AND doiciméadaithe é sin idir fíorú teastais agus script dintiúirí, agus is dhá sheiceáil fíor iad. Ní dhá chineál fachtóra go huathoibríoch fós é, mar ní fhéadfadh an script ach focal faire a bhailíochtú.

Fágann an teaglaim an cheist chomhlachaithe oscailte freisin. Aithníonn teastas gléas go minic agus aithníonn na dintiúirí duine, agus ní éilíonn aon rud sa sruth réamhshocraithe go dtagraíonn an dá rud don phríomhpháirtí céanna. Socraigh cé na péirí atá ceadaithe, ansin cuir an léarscáil sin i bhfeidhm laistigh den script fíoraithe nó i gcéim údaraithe níos déanaí.

Is é an mód teastas-amháin ná seiceáil amháin, arna tacaíocht ag eochair a bhféadfadh PIN a chosaint uirthi nó nach bhféadfadh. Ní dhéanann PIN ach an dintiúr céanna a iompú ina eolas móide seilbh má nach féidir an eochair a úsáid gan í. Má fhágtar an eochair sin neamhchriptithe ar an diosca, laghdaítear an dara cuid go cead comhaid.

Tógann déantóirí fearas a bpluiméireacht féin, go minic modúl PAM nó breiseán RADIUS taobh thiar de chonsól gréasáin. Is tagairt é iompar an phobail do cén chuma a bhíonn ar sheiceálacha dúbailte, ní cur síos ar an gcaoi a gcomhcheanglaíonn fearas iad.

Seiceáil an teaglaim ar do gheata

Léigh an chumraíocht sula dtéann tú i muinín achoimre an chonsóil. Is iad na línte a chinneann an beartas ná mód an teastais, script na ndintiúirí agus ord na mbreiseán.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

Taispeánann grep an bhfuil teastas ag teastáil agus cén script a ritheann ina dhiaidh, agus tá an t-ord níos tábhachtaí ná mar a thugann na hainmneacha le fios. Tugann dump an teastais an chéannacht a fheicfidh an geata, lena n-áirítear an CN agus an tsraithuimhir a theastaíonn uait don léarscáil chomhlachaithe. Is é an tástáil RADIUS an cás diúltach: caithfidh focal faire mícheart Access-Reject a tháirgeadh, agus ceann ceart Access-Accept. Má thugann dintiúr diúltaithe seisiún fós, níl an script ar chonair an fhíordheimhnithe ar chor ar bith.

Ansin rith an cás briste ar shampla saotharlainne: stop an chúlsheirbhís riachtanach agus nasc le dintiúirí bailí. Is é an toradh a bhfuiltear ag súil leis ná diúltú, agus is é aon rud eile an beartas aisghabhála nár dhoiciméadaigh aon duine.

Scríobh an riachtanas mar chásanna diúltacha

Ainmníonn riachtanas inúsáidte na cruthúnais, na cuntais a bhfuil cead acu iad a thíolacadh, agus an toradh nuair a bhíonn fíoraitheoir ar iarraidh. Luann sé freisin an péireáil cheadaithe idir céannacht gléis agus céannacht duine. Tá sé sin níos beaichte ná ainmneacha táirgí ar an ordú ceannaigh, agus is féidir é a thástáil.

Ba chóir go gcuimseodh glacadh ceithre dhiúltú: cuntas áitiúil neamh-incháilithe, cruthúnas riachtanach ar iarraidh, dara fachtóir neamhbhailí agus cúlsheirbhís riachtanach nach féidir a rochtain. Teastaíonn líne loga ó gach diúltú a dhealaíonn ó na cinn eile é, nó osclaítear an chéad eachtra eile le buille faoi thuairim. Taifead cé acu comhpháirt a rinne gach cinneadh, ós rud é go gcuireann an geata, an freastalaí RADIUS agus an eolaire an milleán ar an mbeirt eile.

Rith na ceithre dhiúltú arís tar éis aon athraithe ar bhreiseán nó ar firmware. Tá siad saor, agus is é an beartas a chosnaíonn siad an chuid a scrúdaíonn ionsaitheoir ar dtús.