Binciken shiga biyu ba fakta biyu ba ne: VPN da RADIUS

Ƙara wani backend na tabbatarwa na biyu zuwa ƙofar VPN yana kama da ƙara fakta na biyu. Yawanci yana ƙara bincike na biyu, wanda wani abu ne daban da hanyoyin gazawa daban. Ko duka biyu dole su yi nasara, me kowanne ke tabbatarwa, da abin da ke faruwa idan ɗaya ba ya samuwa, shawarwari ne uku daban. Idan ka yi kuskure, ƙofar za ta fi tsanani a nunin kuma ta fi rauni a lokacin katsewa.

Abin da backend na biyu ke tabbatarwa da gaske

Binciken asusun gida yana tabbatar da cewa suna yana cikin bayanan bayanai kuma kalmar sirri ta yi daidai da shi. Musayar RADIUS tana tabbatar da cewa uwar garken RADIUS ya mayar da Access-Accept ga sifofin da ya karɓa. Babu ɗaya daga cikin maganganun da ya ambaci nau'in fakta, saboda duka biyu suna tabbatar da ilimi. Kuma jagorar NIST ta ainihi na dijital tana kirga nau'ikan fakta daban-daban da masu tabbatar da su, ba uwar garke ko tunatarwa ba.

Akwai ingantaccen tsari inda duka tsarin biyu ke shiga. Sabis na tsakiya na iya tabbatar da mutum yayin da ƙofar ke bincika da kanta ko wannan asusu yana da haƙƙin wannan tunnel. Wannan izini ne kusa da tabbatarwa, kuma kiran shi fakta biyu yana haɗa binciken manufa da hujjar mallaka.

RADIUS na iya ɗaukar ainihin fakta na biyu idan ya tsaya gaban wani abu da ke tabbatar da ɗaya, kamar amincewar turawa ko alamar kayan aiki. Ambulan ba ya faɗin waɗanne masu tabbatar da mai amfani ya nuna, don haka karanta manufar backend maimakon lakabin ƙofar.

AND, OR da na ajiya samfurai ne daban

Kafin kwatanta aiwatarwa, yanke shawara me duka biyu ke nufi a cikin bukatarka. Manufar AND tana buƙatar kowane binciken da aka ambata ya wuce, manufar OR tana karɓar wanda ya yi nasara, kuma na ajiya yana gwada na biyu ne kawai a ƙarƙashin sharuɗɗan gazawa da aka bayyana. Waɗannan uku suna aiki akasin juna a lokacin katsewa, kuma yawanci ɗaya ne kawai abin da bita ta nufa.

Ƙara shigarwar backend biyu a allon daidaitawa ba ya bayyana wace manufa samfurin ke aiwatarwa. Wasu ƙofofin suna haɗa plugins a jere kuma suna tsayawa a farkon ƙi, wanda AND ne kawai idan kowane plugin wajibi ne. Wasu suna ɗaukar asusun gida a matsayin wucewa, wanda ke mai da katsewar tsakiya zuwa kewayawa. Amsa mai dogaro ita ce tantancewar da aka rubuta ta korau ga kowace hanya, wanda aka yi akan build ɗin da kake turawa.

Na ajiya ya cancanci mafi yawan zato, domin yana wanzuwa don ci gaba da aiki idan wani abu ya lalace. Ajiyar da ke karɓar kalmar sirri ta gida duk lokacin da RADIUS ba ya isa ya mai da manufar tsakiya zuwa ƙofa ta biyu mafi rauni.

Binciken biyu na OpenVPN lamari ne na zahiri

OpenVPN na al'umma 2.6 yana buƙatar duka takardar shaidar abokin ciniki da rubutun auth-user-pass-verify da aka saita idan duka biyu a kunne. Wannan rubutaccen AND ne tsakanin tabbatar da takardar shaida da rubutun shaidar shiga, kuma hakika bincike biyu ne. Har yanzu ba ya zama nau'ikan fakta biyu kai tsaye, domin rubutun na iya tabbatar da kalmar sirri kawai.

Haɗin kuma yana barin tambayar dangantaka a buɗe. Takardar shaida tana gane na'ura yawanci yayin da shaidun shiga ke gane mutum, kuma babu abin da ke cikin tsarin da ya buƙaci duka biyu su koma ga babban mutum ɗaya. Yanke shawara waɗanne nau'i-nau'i aka yarda, sannan ka tilasta wannan taswirar a cikin rubutun tabbatarwa ko a wani matakin izini na gaba.

Yanayin takardar shaida kawai bincike ɗaya ne, wanda maɓalli ke goyon baya wanda watakila PIN ke kariya ko a'a. PIN yana mai da wannan shaidar zuwa ilimi da mallaka ne kawai idan ba za a iya amfani da maɓallin ba tare da shi ba. Barin maɓallin ba a ɓoye a faifai yana rage ɓangare na biyu zuwa izinin fayil.

Masu yin na'urori suna gina nasu kayan aikin, galibi PAM module ko RADIUS plugin a bayan web console. Halin al'umma misali ne ga yadda bincike biyu ke kasancewa, ba bayanin yadda na'ura ke haɗa su ba.

Duba haɗin a ƙofarka

Karanta saitin kafin ka amince da taƙaitaccen bayanin console. Layukan da ke yanke shawarar manufar sune yanayin takardar shaida, rubutun shaidun shiga da jeren plugins.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep yana nuna ko ana buƙatar takardar shaida da wane rubutu ke gudana bayanta, kuma jeri ya fi muhimmanci fiye da yadda sunaye ke nuni. Fitar da takardar shaida tana ba da ainihin da ƙofar za ta gani, ciki har da CN da lambar jeri da kake buƙata don taswirar dangantaka. Gwajin RADIUS shine yanayin korau: kalmar sirri mara kyau dole ta ba da Access-Reject, kuma daidai Access-Accept. Idan shaidar da aka ƙi har yanzu tana ba da zama, rubutun ba ya kan hanyar tabbatarwa kwata-kwata.

Sannan gudanar da yanayin katsewa a kan kwafin dakin gwaji: dakatar da backend ɗin da ake buƙata kuma haɗa da ingantattun shaidun shiga. Sakamakon da ake tsammani ƙi ne, kuma duk wani abu dabam shine manufar ajiya da babu wanda ya rubuta.

Rubuta buƙatar a matsayin yanayi na korau

Buƙata mai amfani tana ambaton hujjoji, asusun da aka yarda su gabatar da su, da sakamakon idan mai tabbatarwa ba ya nan. Ta kuma bayyana halattaccen haɗin da ke tsakanin ainihin na'ura da ainihin mutum. Wannan ya fi sunayen samfura a kan odar saye daidai, kuma ana iya gwada shi.

Karɓa ya kamata ya haɗa da ƙi huɗu: asusun gida da bai cancanta ba, hujjar da ake buƙata da ta ɓace, fakta na biyu mara inganci, da backend ɗin da ake buƙata wanda ba a isa gare shi. Kowane ƙi yana buƙatar layin log wanda ya bambanta shi da sauran, in ba haka ba wata aukuwa za ta fara da zato. Rubuta wace ɓangare ta yanke kowace shawara, domin ƙofar, uwar garken RADIUS da jagorar kowa zai zargi sauran biyun.

Sake gudanar da ƙi huɗu bayan kowane canjin plugin ko firmware. Suna da arha, kuma manufar da suke karewa ita ce ɓangaren da mai hari ke fara bincikawa.