Tabbatar da LDAP na OpenVPN yana aiki amma binciken rukuni yana gazawa: inda za a duba

Bayanan shiga suna wucewa, ramin yana fara tashi, sannan zaman ya kasa da saƙo game da rukuni maimakon game da kalmar sirri. Wannan haɗin yana sanya gazawar a rabin na biyu na aikin plugin ɗin LDAP: haɗin da binciken kalmar sirri sun yi nasara, kuma shawarar membanci da ke biyo baya ba ta yi ba. Rabin biyu suna karantawa daga sashin tsari ɗaya, shi ya sa gyara a wuri ɗaya zai iya barin ɗayan ba a taɓa shi ba. Fara daga layin log ɗin da ke ambaton matakin, ba daga asusun da kake gwadawa da shi ba da gangan.

Ɗauki ƙin a matsayin amsar izini

Plugin ɗin yana yin haɗin sabis, yana neman asusun, yana tabbatar da kalmar sirrin da aka bayar, sannan yana tambaya ko wannan asusun na rukunin da aka yarda da shi ne. Waɗannan ayyuka huɗu ne daban-daban, kuma na ƙarshe ne kawai ya shafi rukuni. Don haka ƙin da ya zo bayan nasarar haɗi ba ya faɗin komai game da kalmar sirri, ko da abokin ciniki ya nuna kuskuren tabbatarwa na gama gari. Ɗaga matakin log ɗin plugin kafin canza tsarin shi ne abin da ke raba huɗun a cikin fitarwa.

Nemi kimanta rukuni da kansa. Lokacin da babu tambayar rukuni da ta bayyana kwata-kwata, ba a isa sashen izini ba, wanda yawanci yana nufin umarni yana waje da sashin da ya mallake shi ko wani zaɓi da ake buƙata ya ɓace. Lokacin da tambayar ta bayyana kuma ba ta dawo da komai, ƙarshen hanya ko tacewa yana amsa wata tambaya dabam da wadda kake nufi.

Yanke shawara ko membanci yana zaune a cikin tacewa ko a cikin sashen rukuni

Akwai siffofi biyu da aka tallafa, kuma haɗa su shi ne hanyar da tsarin da ke aiki zai daina aiki. Na farko yana tura membanci cikin binciken mai amfani ta hanyar neman sifa a kan abin mai amfani; na biyu yana barin binciken mai amfani yadda yake kuma yana sa plugin ɗin ya nemi abin rukuni daga baya. Zaɓi ɗaya ga kowace turawa kuma rubuta wanda ka zaɓa.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(&(sAMAccountName=%u)(memberOf=CN=VPN Access,OU=Groups,DC=example,DC=org))"
    RequireGroup false
</Authorization>

Da wannan siffa tacewa ce ke yanke duk abu, don haka RequireGroup dole ya zama false in ba haka ba plugin ɗin zai nemi abin rukuni da tacewar ba ta taɓa ambata ba. Sifar da ke cikin tacewa dole ta kasance a kan abin mai amfani kuma a cika ta, wanda ba a tabbatar da shi da zarar rukunoni sun shiga juna.

Wata siffar tana kiyaye bincike mai sauƙi kuma tana ƙara neman rukuni bayansa. Ana ambaton abin rukuni a fili, kuma plugin ɗin yana kwatanta mai amfani da membobin da jagora ke dawo da su dominsa. Babu abin da ke canzawa a tacewar mai amfani, wanda ke sa wannan siffa ta fi sauƙin dubawa lokacin da wata ƙungiya ke kula da rukunin.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(sAMAccountName=%u)"
    RequireGroup true
    Group        "CN=VPN Access,OU=Groups,DC=example,DC=org"
</Authorization>

Makaho ɗaya ne: kwatancen membanci mai sauƙi ba ya faɗaɗa rukunonin da suka shiga juna, don haka asusun da samunsa ke zuwa ta rukunin iyaye yana gazawa yayin da console ɗin ke nuna membancin har yanzu. Active Directory yana bayyana member a kan rukunin, wasu tsare-tsare suna amfani da uniqueMember, kuma nuna sifa mara kyau yana dawo da sakamako mara komai maimakon kuskure.

Zaɓi ƙarshen hanya da ke riƙe da abin rukuni

URL ɗin yana yanke shawara wace jagora plugin ɗin ke tambaya, kuma mai kula da yanki a tashar 389 yana amsawa ne kawai ga mahallin sunansa. Babban katalogi a tashar 3268 yana amsa ga dukan dajin, karatu kawai kuma da ɓangaren sifofi. Lokacin da asusun suna cikin yanki ɗaya kuma rukunin VPN yana wani, tambayar yanki ɗaya na iya samun mai amfani kuma har yanzu ya rasa membancin. Wannan shi ne yanayin da matsar da URL ɗin zuwa tashar katalogi ke warware ƙin, kuma shi ne kuma yanayin da mutane ke wuce gona da iri.

Ɓangaren sifofi shi ne iyaka: ba za a iya tacewa a kan sifar da katalogi ba ta riƙe ba, don haka wannan canjin zai iya sa turawa ɗaya ta yi aiki kuma wata ta dawo da komai. Tabbatar da abin da ƙarshen hanya ke dawo da shi ga ainihin mai amfani da rukuni kafin sake rubuta sashin. Turawa da TLS batutuwa ne daban kuma, tunda dole a bi turawa kuma ƙarshen hanyar da ke buƙatar TLS yana buƙatar fayilolin amana da suka dace.

Riƙe yanayin asusu da iyakar bincike a cikin filayensu

Alamar kashewa tana cikin tacewa, ba cikin binciken rukuni ba. A cikin Active Directory ita ce bita ta biyu ta userAccountControl, kuma ba tare da wannan sharadi ba asusu da aka kashe da ingantacciyar kalmar sirri yana tabbatarwa sannan ya kasa a matakin rukuni, wanda ke kama da kuskuren izini. Iyakar bincike tana cikin tushen DN, domin farawa daga tushen yanki ya fi jinkiri kuma zai iya dacewa da abubuwan da ke waje da sashin ƙungiyar da kake so ka rufe.

Riƙe haƙƙoƙin asusun haɗi a taƙaice kuma. Faɗin haƙƙoƙin jagora suna mai da tacewar da ba a daidaita ba tambaya mai nasara kuma suna ɓoye kuskuren har sai wani ya duba asusun. Canza membancin a cikin jagorar kanta, ba a cikin jerin keɓe na gida ba, domin kashe asusun ya isa a cire damar shiga. Idan wata ƙungiya ce ke kula da rukunin, ku amince da sifar da suke cikawa kafin rubuta tacewa a kanta.

Tabbatar da sakamakon da asusu uku

Gudanar da tsarin a kan mutum uku: memba da aka yarda, ingantaccen asusu a waje da rukunin, da asusun da aka kashe. Idan duk ukun an ƙi su, haɗin ko tambayar rukuni ya lalace; idan duk ukun an karbe su, ba a aiwatar da wani sharadin rukuni kwata-kwata. Sakamako gauraye shi ne kawai sakamakon da ke tabbatar da cewa tsarin yana bambanta abubuwan da kake buƙata.

Karanta waɗannan amsoshi uku kai tsaye daga jagora kafin ka zargi plugin ɗin. Tambaya ta farko tana nuna sifar rukuni da tacewar ta dogara da ita, ta biyu kuma tana nuna darajar kula da asusu. Sauya da naka tushen DN, asusu da ƙarshen hanya:

ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=alice)" memberOf
ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=bob)" userAccountControl

Mai amfani wanda memberOf nasa ya dawo mara komai al’amarin jagora ne, ba kuskuren plugin ba, kuma asusun da har yanzu yana tabbatarwa bayan an kashe shi yana nufin tacewar ta rasa sharadin kula da asusu. Gyara wannan hujja da farko, sannan sake gudanar da gwajin asusu uku. Riƙe layin log ɗin da ya ambaci matakin da ya gaza kusa da canjin tsarin, domin na gaba ya iya raba izini da tabbatarwa ba tare da maimaita binciken ba.