Takaita shigarwar OpenVPN zuwa ƙungiya ɗaya da manufar PAM

Ka bar kowane asusu ya iya shiga daidai, amma ka bar ƙungiya ɗaya kawai ta yi amfani da VPN. PAM na iya bayyana wannan bambanci ba tare da ajiyar kalmar sirri ta biyu ba, kuma ana iya nuna maɓallin OpenVPN zuwa sabis wanda ke ɗauke da binciken da kake so kawai. Dabarar ita ce gina wannan sabis ba tare da gado matattarar tsarin ba da gangan ba.

Wannan jagorar ta fara daga sunan sabis na maɓallin, ta gina manufa, sannan ta gwada sakamako uku masu muhimmanci: memba, bare wanda ke da ingantaccen kalmar sirri, da mummunan tabbaci.

Me ya sa sabis na PAM daban

Maɓallin auth-pam yana ɗaukar sunan sabis a matsayin hujjarsa. Wannan sunan yana zaɓar fayil a ƙarƙashin /etc/pam.d, kuma matattarar da ke cikin wannan fayil ita ce ake aiwatarwa lokacin shigar VPN. Idan ka ba da sunan da shigar tsarin ke amfani da shi, kana gado kowane shawara a cikin wannan matattarar, har da waɗanda aka ƙara daga baya saboda dalilai marasa alaƙa.

Ka ƙirƙiri sabis da aka keɓe maimakon. Fara daga matattara mai aiki wadda ta riga ta tabbatar da backend da aka yi niyya, kamar fayil ɗin kalmar sirri na gida, SSSD ko sabis na jagora, sannan ka ƙara ka'idar cancanta. Kwafin layi biyu cikin fayil mara komai shine kuskuren da aka saba: ƙarewar kalmar sirri, kulle asusu da sauran binciken na iya kasancewa cikin matattarar da ba ka kwafa ba.

Raba sabis ɗin yana kuma iyakance girman ɓarna. Ka'idar VPN kawai a cikin matattara da aka raba na iya hana kowa shiga SSH ko console, wanda ke mai da canjin shiga ya zama rashin aiki.

Rubuta ka'idar ƙungiya

Binciken cancanta yana cikin matakin asusu, bayan an tabbatar da shaidar. Ka'ida kamar account required pam_succeed_if.so user ingroup vpnusers na barin aikin ya ci gaba sai lokacin da mai amfani da aka tabbatar yake memba na wannan ƙungiya.

Wannan layin yanki ne, ba cikakken sabis ba. Haɗa shi inda kowace hanya da aka karɓa ta isa gare shi, kuma duba tutocin sarrafawa da ke kewaye da shi. sufficient ko tsallake sarrafawa a farkon matattarar na iya ƙare aikin kafin ka'idarka ta gudana, wanda ke mai da hani ya zama shawara.

Kada ka ƙara use_uid saboda al'ada. Ba tare da shi ba, module ɗin yana kimanta mai amfani da ake tabbatarwa; tare da shi, module ɗin yana kimanta asusun da aikin OpenVPN ke gudana a ƙarƙashinsa, wanda yawanci root ne ko asusun sabis sabili da haka ba mutumin da ke shiga ba.

Kasancewar memba a ƙungiya yana zuwa daga warwarewar asalin tsarin, ba daga sunan da ka gane ba. Ga masu amfani da jagora, tabbatar cewa wannan backend ɗin yana amsa tambayoyin ƙungiya ga wannan mai amfani, domin ƙungiyar gida mai sanannen suna wani abu ne dabam da ƙungiyar jagora mai wannan sunan.

Tarko na tsari da asali

Sanya ka'idar ƙungiya bayan matattarar tabbatarwa da bayan kowane binciken da ya kamata ya ci gaba da aiki, amma kafin ko tare da binciken asusun da kake ajiyewa. PAM na kimanta module ɗin bisa tsarin fayil, kuma ƙimar sarrafawa a kowane layi tana yanke shawara ko gazawa ta ƙarshe ce.

Yi hankali da matattara biyu. Tsarin da aka saba shine haɗawa wanda ya riga ya ƙunshi ka'idar asusu, sannan ka'idar ƙungiyarka, wanda ke haifar da shawara biyu inda ka yi tsammanin ɗaya. Karanta fayil ɗin da aka haɗa, ba kawai wanda ka gyara ba. Hanya mai sauri ta ganin ainihin tsari ita ce karanta fayil ɗin daga sama zuwa ƙasa da lura da kowace ƙimar sarrafawa.

Ka kiyaye sauran bukatun shiga lafiya. Kalmar sirri mai nasara ba ta maye gurbin binciken takardar shaidar, wani mataki na biyu ko izini bayan haɗi, kuma wannan manufar ba ta maye gurbin ɗaya daga cikinsu. Tana yanke shawara ne kawai ko asusun ya cancanci a yi la'akari da shi don shiga VPN.

Gwada mambobi, bare da kuskuren kalmomin sirri

Gwada yanayi uku kafin ka ɗauki manufar a gama. Memba yana haɗawa cikin nasara. Inganaccen asusu a wajen ƙungiyar yana tabbatar da kalmar sirrinsa amma an hana shi shiga VPN. Ana ƙin kuskuren kalmar sirri ga kowane asusu a matakin tabbatarwa, ba da ka'idar ƙungiya ba.

Duba kuskuren da abokin ciniki yake gani da log ɗin uwar garke tare, domin duka gazawar biyu na iya kama da juna ga mutumin da ke haɗawa. Bambancin yana da muhimmanci ga tallafi: bare mai daidai kalmar sirri yana buƙatar canjin ƙungiya, yayin da kuskuren kalmar sirri ke buƙatar sake saita shaidar.

Ka bar wani zama na biyu a buɗe yayin da kake gyara PAM, kuma tabbatar da shigar SSH na yau da kullum bayan canjin. Manufar sabis ɗin da aka keɓe ita ce shigar tsarin ya kamata ya kasance ba a taɓa shi ba, kuma hanya ɗaya da za ka sani ita ce gwada shi.

Idan wani abu ya lalace, mayar da fayil ɗin sabis na baya daga kwafi. Ka'idar da kake so mai sauƙin faɗa ce: kasancewar memba yana sa asusu ya cancanci shiga VPN, kuma kowane binciken da ake buƙata yana ci gaba da aiki.