RADIUS a cheangal le OpenVPN: breiseán nó crúca scripte?

Moltar an breiseán fós i snáitheanna atá níos sine ná na buildí reatha, agus teipeann sé ag lódáil ar fhreastalaí a tiomsaíodh inné. Ní botún cumraíochta é seo is féidir a shocrú le cosán. Réitíonn an breiseán agus an crúca scripte an fhadhb chéanna ag sraitheanna éagsúla, agus athraíonn an t-aistriú ó dhuine go chéile cad a chaithfear a shuiteáil, cad a ritheann le pribhléidí freastalaí, agus cad a insíonn teip logála isteach duit i ndáiríre.

An miotas: is é an breiseán an bealach tacaíochta

Is réad roinnte é breiseán a lódáiltear isteach i bpróiseas OpenVPN, mar sin caithfidh sé teacht leis an gcomhéadan a nochtann an próiseas sin. Athraíonn buildí, athraíonn pacáistiú, agus diúltaíonn leabharlann a tiomsaíodh do chomhéadan níos sine lódáil ar chor ar bith. Ní féidir le haon rud i gcumraíocht an fhreastalaí an bhearna sin a dhroicheadú, agus mar sin críochnaíonn an chomhairle "suiteáil radiusplugin amháin" le freastalaí nach dtosaíonn.

Seasann an crúca scripte lasmuigh den phróiseas ina ionad. Ritheann OpenVPN clár, tugann sé na dintiúir dó agus léann sé breith ar ais. Is é an díchúpláil sin a ligeann dó maireachtáil trí uasghrádú, agus is é freisin a dhéanann do fhreagracht é ar bhealach nach raibh an breiseán riamh.

Níl ceachtar den dá chur chuige níos sábháilte ó thaobh an dearaidh de. Ritheann ceann amháin cód coimhthíoch taobh istigh den daemon; ritheann an ceann eile do chód ina aice leis na dintiúir i do lámh. Is é an cheist cheart ná cé acu den dá riosca sin is féidir leat a oibriú i ndáiríre.

Cad a cheangail an breiseán le chéile

Bhí a chomhad cumraíochta féin ag an mbreiseán le hóst RADIUS, an rún roinnte, líon na n-iarrachtaí agus an teorainn ama, agus thagair cumraíocht an fhreastalaí dó le líne amháin. D'fhan láimhseáil na ndintiúr taobh istigh de phróiseas an fhreastalaí, rud a chiallaigh nár thrasnaigh an focal faire teorainn phróisis riamh a bhí le slánú ag an riarthóir.

Ba é an costas ná cúpláil. Chuir gach uasghrádú OpenVPN comhéadan neamh-chomhoiriúnach i mbaol, agus chuir gach dáileadh a atóg an pacáiste leabharlann i mbaol nach raibh ag teacht a thuilleadh. Nuair a tharlaíonn sé sin, bíonn an teip glórach agus láithreach, agus sin an t-aon trócaire atá sa dearadh.

Má lódáiltear a leithéid de bhreiseán fós ar do build, féadfaidh sé a bheith ar an dromchla oibríochta is lú. Deimhnigh an comhéadan ar tógadh é, coinnigh greamaithe den build a thástáil tú, agus caith le haon uasghrádú mar athrú a éilíonn tástáil iomlán logála isteach seachas nuashonrú pacáiste rutineach.

Cad a bhfuil muinín ag an crúca scripte as i ndáiríre

Cumraítear an crúca le auth-user-pass-verify agus meicníocht seachadta: athróga comhshaoil nó comhad sealadach. Sa fhoirm chomhshaoil, éilíonn OpenVPN script-security 3, an leibhéal doiciméadaithe a cheadaíonn focal faire a nochtadh do scripteanna. Is lagú toilteanach ar an réamhshocrú é an leibhéal sin, agus ba chóir caith le mar chead le réasúnú ceangailte.

Faigheann gach rud a bhaineann an scripte leis an muinín sin le huacht. Caithfidh sé a bheith faoi úinéireacht root, gan a bheith inscríofa ag grúpa nó ag daoine eile, tagartha le cosán iomlán agus saor ó aon áit a shroicheann luach neamhiontaofa blaosc. Cuir gach athróg idir luaidh, diúltaigh do charachtair nach rabhthas ag súil leo, agus ná tóg ordú riamh ón ainm úsáideora a sholáthraítear. Tá scripte a ritheann mar root ar gach iarracht logála isteach fiú athbhreithniú amháin go díreach as na ceithre airí sin.

ls -l /usr/local/sbin/radius-auth.sh
stat -c '%U %a' /usr/local/sbin/radius-auth.sh

Seachnaíonn an fhoirm seachadta comhaid fadhb oidhreacht an chomhshaoil agus tugann sé na dintiúir don scripte trí chomhad sealadach le ceadanna teoranta. Má thacaíonn do chliant leis, is gnách gurb é an réamhshocrú is fearr é, cé go gcuireann sé réad amháin eile leis le glanadh ar theip.

Cinneann cóid scoir an dteipeann tú go hoscailte

Is é stádas scoir na scripte an bhreith: glacann nialas, diúltaíonn neamh-nialas. Is é an patrún a chruthaíonn trioblóid scripte bhlaosc a ghlacann amháin nuair a bhíonn comhartha glactha ar leith sa fhreagra RADIUS agus a thugann teip ar ais do gach rud eile, mar déanann sé sin trí imeacht éagsúla a chónascadh in aon fhreagra amháin. Éiríonn focal faire mícheart, freastalaí dorochtana agus freagra míchumtha go léir mar an diúltú céanna.

Scar na cásanna sin sa scripte fiú mura féidir leis an crúca ach glacadh nó diúltú a thabhairt ar ais. Logáil toradh an chúlpháirtí ar leith, tugann foláireamh faoi theorainneacha ama agus earráidí iompair, agus déan soiléir sa mhonatóireacht nuair a theipeann an fhíordheimhniú mar go bhfuil an tseirbhís síos seachas mar go bhfuil úsáideoirí ag clóscríobh go mícheart.

Coinníonn dhá nós an chuid eile ciallmhar. Más é RADIUS an t-údarás, ba chóir gurb é an t-aon áit a ndéantar focal faire a sheiceáil, mar cruthaíonn tábla scáile dhá fhreagra ar an gceist chéanna agus is dromchla ionsaí é an dara ceann nach bhfeiceann aon duine. Agus cuimhnigh go nglaoitear an crúca arís ar gach iarracht nua, mar sin éiríonn scripte mhall le cliant mífhoighneach ina aimplitheoir do mhíbhreith focail faire mura gcuireann tú moill nó polasaí leis ar thaobh RADIUS.

Cad a thugann tú suas nuair a imíonn an teastas

Cuireann go leor imlonnaithe den chineál seo seiceáil theastas cliaint as go hiomlán, rud a fhágann ainm úsáideora agus focal faire mar éileamh iomlán an chliaint. Is é an rud a imíonn leis an socrú sin ná féiniúlacht bunaithe ar theastas. Fanann an cainéal criptithe, ach is é breith RADIUS an t-aon rud a ainmníonn an cliant. Caithfidh aon rud le sruth a bhíodh bunaithe ar ábhar teastais anois a bheith bunaithe ar an ainm úsáideora ina ionad.

Coinnigh cosaint an chainéil rialaithe in áit ionas nach féidir le piara gan fhíordheimhniú an cró a iniúchadh ná a thuilte, agus bain úsáid as username-as-common-name nuair a bhíonn cumraíocht in aghaidh an úsáideora ag brath ar an ainm coitianta. Réitíonn geataí bainistithe é seo go minic ar bhealach eile, ag críochnú fíordheimhniú teastais ag geata a labhraíonn EAP-TLS le RADIUS, agus sa chás sin ní bhaineann aon cheann de na treoracha freastalaí seo. Cóipeáil an tsamhail a dhoiciméadaíonn do ardán féin, ní an ceann ó tháirge comharsanachta. Tá na treoracha a bhfuil tábhacht leo difriúil go leor go dtugann meascadh iad cumraíocht a pharsáiltear agus ansin nach bhfíordheimhníonn aon duine.