OpenVPN PAM: hujjar shiga wajan sabis ce, ba sunan mai amfani ba

An ƙara mai amfani a uwar garken, an rubuta kalmar sirri daidai, amma haɗin yana ƙarewa da AUTH_FAILED. Layin fakitin yakan bayyana dalili: kalmar da ke bayan hanyar fakitin sunan sabis ne na PAM, kuma ita ce ke yanke shawarar wane tarin moduloli zai amsa tambayar. Ba sunan mai amfani ba ne, kuma ba nuni ne zuwa fayil ɗin kalmar sirri da OpenVPN ke karantawa da kansa ba.

Abin da kalma ta biyu ke zaɓa

Layin saitin yana ɗaukar hanyar fakitin da hujja ɗaya:

plugin /usr/lib/openvpn/plugins/openvpn-plugin-auth-pam.so openvpn

Ana ba da wannan hujja ga ɗakin karatu na PAM a matsayin sunan sabis, wanda hakan ke sa tarin da ke /etc/pam.d/openvpn shi ne zai gudana. Rubuta login a wurin kuma za ka sami manufar shiga waje mai mu'amala maimakon haka, tare da duk modulolin da wannan manufa ta haɗa a rarraba naka.

Yi amfani da hanyar fakitin da kunshin da aka shigar ya tanadar, ba hanyar da aka kwafa daga wata uwar garke ba. Sunan fayil da babban fayil sun bambanta tsakanin rarrabuwa, kuma hanyar da ba daidai ba tana kasawa a lokacin farawa da kuskuren loda fakiti, ba a lokacin tabbatarwa ba.

Inda tarin yake karanta asusu a zahiri

PAM mai rarrabawa ne. Fayil ɗin sabis yana lissafa moduloli bisa tsari, kuma na farko da zai iya amsawa shi ke yanke shawara. Tarin da ke kira pam_unix yana karanta asusun gida; tarin da ke kira modul LDAP ko RADIUS yana aika shaidun wani wuri daban gaba ɗaya.

Karanta fayil ɗin da sunan sabis ɗin ke warwarewa zuwa gare shi, gami da duk abin da ya haɗa:

cat /etc/pam.d/openvpn
grep -H pam_ /etc/pam.d/openvpn /etc/pam.d/common-auth

Idan tarin yana wakilta zuwa babban fayil, ƙara asusun gida ba ya canza kome. Idan yana karanta asusun gida, ƙirƙirar mai amfani a cikin babban fayil ba ya canza kome ma. Asusun dole ne ya kasance a inda tarin yake kallo, kuma wannan shi ne duk binciken a yawancin waɗannan rahotannin.

Ƙoƙari ɗaya, rajista biyu

Haɗa haɗin da ya gaza ɗaya a ɓangarorin biyu. Rajistan OpenVPN yana nuna sakamakon fakitin da kin amincewar abokin ciniki; rajistan tabbatar da tsarin yana nuna wane modul ya gudana da abin da ya yanke. Karanta su a cikin tagar lokaci ɗaya shi ne ke raba fayil ɗin sabis da ya ɓace da lokacin ƙarewar backend. Gibi a cikin rajistan tabbatarwa yana nufin ba a taɓa isa tarin ba kwata-kwata.

journalctl -u openvpn-server@server --since "-2 min"
journalctl -t sshd -t sudo --since "-2 min"

Gwada sabis ɗin kai tsaye da kayan aiki da ke magana da PAM, don kada ka gyara VPN da tarin a lokaci ɗaya. Nasara gwajin kai tsaye tare da sunan sabis da asusu ɗaya yana taƙaita matsalar ga yadda daemon ke ba da shaidu, ba ga asusun kansa ba.

pamtester openvpn alice authenticate

Idan gwajin kai tsaye ya gaza da shaidun da suke aiki a kan na'ura, tarin ba ya karanta tushen asusun da ka ɗauka. Idan ya yi nasara, duba tattaunawar da fakitin ke gudanarwa da abin da abokin ciniki ya aika da gaske. Gudanar da shi sau ɗaya da kalmar sirri mara kyau da gangan kuma, don ka ga bambanci tsakanin ƙin yarda da kuskuren modul. Waɗannan sakamakon biyu suna kama a rajistan VPN kuma sun bambanta sarai a nan.

Sabis na musamman ya fi gyara shiga waje

Ba VPN fayil ɗin sabis nasa lokacin da bukatunsa suka bambanta da shiga waje mai mu'amala, kamar yadda sukan yi. Gyara login ko common-auth yana canza manufar kowane shirin da ya haɗa su, kuma mutum na gaba da zai gyara matsalar shiga waje da ba ta da alaƙa zai gaji canjin naka.

Kwafi modulolin da kake buƙata zuwa ƙaramin fayil ɗin sabis, ka riƙe tsari a bayyane, kuma ka lura wanene ya mallake shi. Wannan fayil ɗin shi ne abin dubawa lokacin da sake saita kalmar sirri ya bayyana ba shi da tasiri.

Abin da abokin ciniki ke aikawa, da abin da ba ya aikawa

Abokin ciniki yana bayar da sunan mai amfani da kalmar sirri ta hanyar tambayarsa ko fayil ɗin da aka goyi baya. Fakitin uwar garke yana ba da waɗannan ƙimar ga tattaunawar PAM; ba ya karanta su daga saitin uwar garke. Layi a ɓangaren uwar garke da ya yi kama da yana ayyana kalmar sirri ba ya yin haka, kuma babu gyaran bayanan martaba da zai ƙirƙiri asusu.

Sunan mai amfani da kalmar sirri na iya kasancewa tare da takaddun shaida na abokin ciniki, kuma kunna PAM ba dalili ba ne na daina tabbatar da takaddun shaida. Ka riƙe yaduddukan da turawar ta yi niyya kuma gyara tushen asusun kawai.

Karɓa ta biyu ce: asusun da aka yi niyya ya yi nasara, kuma asusun da ya kamata a ƙi ya ci gaba da gaza. Fayil ɗin README na fakitin auth-pam yana bayyana hujjar sabis da backends ɗin da zai iya hidimawa, kuma nan ne wurin tabbatar da tsarin da kake ƙoƙarin ginawa.