Kulle asusu da hana adireshi: inda OpenVPN yake kirga da gaske

Toshe adireshi da kulle asusu hanyoyi biyu ne daban, kuma suna kasawa a alkibloli dabam. Hana adireshi yana tsayar da tushe guda kuma asusun da ake nufi yana iya isa daga wani wuri; kulle asusu yana tsayar da wannan ainihi a ko’ina, har a kan kwamfutar uwar mai amfani.

Ga VPN da ke mika tabbatarwa ga PAM, lissafin shine abin da tarkon PAM ya kai, ba abin da mai sauraro ya rubuta ba.

Lissafi biyu, waɗanda aka ci zarafin biyu

Mai takaita sauri yana kallon tushe yana tambaya nawa ƙoƙari suka zo daga gare shi kwanan nan. Kulle yana kallon ainihi yana tambaya nawa gazawa asusun ya tara. Na farko yana kare samuwar sabis, na biyu yana kare takardar shiga; babu wanda ke maye gurbin ɗayan.

Shi ya sa jimlar muna toshe IP bayan gazawa biyar ba amsa ba ce ga rahoton cika takardun shiga. Mai hari yana canza tushe, kowanne yana samun ƙananan ƙoƙari, kuma ba a taɓa kirga asusun ba. Akasin haka, kulle ba tare da kula da tushe ba yana barin mai hari ya riƙe asusun a kulle har abada ta hanyar yin kasa da gangan.

Hanyoyin biyu kuma suna da labarin dawo da daban. Hana adireshi yana ƙarewa da na’urar lokaci da babu wanda zai yi tunani a kanta; kulle asusu na iya buƙatar mai gudanarwa, lokacin jira da aka rubuta, ko sake saiti na kai.

Nemo ma’ajiyar da ta riga ta mallaki lissafin

Kafin ka ƙara wani abu, gano ko akwai ma’ajiyar gazawa tuni. Asusun Linux na gida, sabis ɗin jagora da mai samar da ainihi na waje kowanne yana riƙe da lissafinsa, kuma PAM module da aka sanya a gabansu yana ƙirƙirar na biyu maimakon faɗaɗa na farko.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Karanta fayil ɗin sabis da VPN ya ambata da gaske ka bi layukan haɗawa. A yawancin rarrabawa sabis ɗin VPN yana haɗa da wani fayil na gama gari, wanda ke nufin lissafin da kake daidaitawa ya shafi SSH da shiga na gida ma.

Idan jagorar tana aiwatar da kulle tuni, tambayar mai amfani ita ce ta yaya tattaunawar PAM ta kai ga wannan shawarar da kuma yadda VPN ke ba da rahoto. Lissafi na gida a saman ba ya zama lissafin jagorar, kuma manufofin biyu na iya rashin jituwa kan lokacin da asusun zai buɗe.

pam_faillock yana da wuraren kira uku, ba ɗaya ba

Module ɗin yana raba ayyuka uku da layi ɗaya da aka kwafa yakan ɓata: duba ko asusun ya riga ya kulle, rubuta gazawa, da share tari bayan nasara.

Anan ne sau da yawa ƙaura daga tsohon module na lissafi ke yin kuskure. Kwafin layi daga misalin pam_tally2 da ke aiki zuwa tarkon pam_faillock ba canza suna ba ne; tsarin da aka rubuta ya bambanta, kuma kira da aka sanya a wuri mara kyau na iya rubuta gazawa ba tare da duba su ba.

faillock --user alice
faillock --user alice --reset

Kayan bincike shine hanya mafi sauri don ganin ko lissafin gaskiya ne: yana nuna gazawar da aka rubuta na asusu kuma yana iya share su. Idan gazawar da aka sarrafa ba ta canza wannan fitar ba, wurin kiran ba daidai ba ne.

Sunan sabis na musamman ba keɓewa ba ne

Ba VPN fayil ɗin sabis na PAM nasa yana sa manufar da ake so ta bayyana, amma ba ya iyakance tasirin. Duk wani haɗawa da fayil na gama gari yana jawo abin da fayil ɗin ke yi, har da lissafin da ya shafi dukan tsarin.

Yanke shawara a fili ko kullen zai rufe damar VPN kawai ko kowane sabis da ke tabbatar da asusun ɗaya. Amsoshin biyu suna da hujja; kuskuren shine yin imani cewa ka zaɓi ɗaya yayin da tarkon ke aiwatar da ɗayan.

Sannan ka yi la’akari da farashi. Mai hari na iya haifar da kullen, kuma mai amfani da ke shan wahala shine mai asusun. Iyaka, lokacin jira da hanyar dawo da gudanarwa duk suna cikin manufar, kuma dawo ba dole ba ne ya dogara da sake saita VPN a lokacin wani lamari.

Karɓi jerin, ba ƙi ɗaya ba

Gwada da ainihi da aka zaɓa a ƙarƙashin shirin da aka amince da shi, kuma gwada sarƙa maimakon abu ɗaya: asusu mai inganci yana tabbatarwa, kalmar sirri mara kyau da gangan tana motsa lissafin, kullen da aka saita yana aiki, kuma dawo da aka rubuta yana maido da dama.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Duba halin nasara da kyau kamar halin gazawa. Idan shiga mai nasara bai share tari ba, asusun zai kulle bayan jinkirin tara kuskuren yau da kullum. Idan ya share komai daga kowane sabis, lissafin ya fi mai rauni fiye da yadda manufar ke cewa.

A ƙarshe, dakatar da abokan ciniki marasa kulawa kafin ka bayyana nasara. Takardar shiga da aka adana da ke sake gwadawa a baya za ta sake haifar da gazawa mintuna bayan dawo ta kuma kulle asusun. Takaita sauri bisa tushe na iya kasancewa a matsayin ƙarin iko, amma ba manufar asusu ba ce.