Haɗa RADIUS cikin OpenVPN: plugin ko ƙugiyar rubutu?

Ana ba da shawarar plugin ɗin har yanzu a cikin tattaunawa da suka tsufa fiye da sigogin yanzu, kuma yana gazawa lokacin lodawa a kan uwar garke da aka haɗa jiya. Wannan ba kuskuren tsari ba ne da za a gyara da hanya. Plugin da ƙugiyar rubutu suna magance matsala ɗaya a matakai daban-daban, kuma ƙaura daga ɗaya zuwa wani yana canza abin da za a shigar, abin da ke gudana da haƙƙin uwar garke, da abin da gazawar shiga ke gaya maka a zahiri.

Tatsuniya: plugin shine hanyar da aka goyi baya

Plugin abu ne da aka raba wanda ake lodawa cikin tsarin OpenVPN, don haka dole ya dace da hanyar da wannan tsari ke buɗewa. Sigogi suna canzawa, fakiti suna canzawa, kuma ɗakin karatu da aka haɗa don tsohuwar hanya zai ƙi lodawa kawai. Babu wani abu a cikin tsarin uwar garke da zai iya cike wannan rata, shi ya sa shawarar "kawai shigar da radiusplugin" tana ƙarewa da uwar garke da ba ya tashi.

Ƙugiyar rubutu tana tsaye a wajen tsarin. OpenVPN yana gudanar da shiri, yana ba shi bayanan shiga, sannan yana karanta hukunci. Wannan rabuwa ce ke ba shi damar tsira daga haɓakawa, kuma ita ce ke mai da shi alhakinka a hanyar da plugin bai taɓa kasancewa ba.

Babu wata hanya da ta fi tsaro bisa tsarin ta. Ɗaya yana gudanar da lambar waje a cikin daemon; ɗayan yana gudanar da lambarka a gefensa tare da bayanan shiga a hannu. Tambaya daidai ita ce wace daga cikin waɗannan haɗari biyu za ka iya sarrafawa da gaske.

Abin da plugin ya haɗa tare

Plugin yana da nasa fayil ɗin tsari tare da mai masaukin RADIUS, sirrin da aka raba, adadin sake gwadawa da lokacin jira, kuma tsarin uwar garke yana nuni gare shi da layi ɗaya. Sarrafa bayanan shiga ya kasance cikin tsarin uwar garke, wanda ke nufin kalmar sirri ba ta taɓa ketare iyakar tsari da mai gudanarwa zai tsare ba.

Kuɗin shine haɗin kai. Kowace haɓakawar OpenVPN tana cikin haɗarin hanyar da ba ta dace ba, kuma kowace rarrabawa da ta sake gina fakitin tana cikin haɗarin samar da ɗakin karatu da bai dace kuma ba. Lokacin da hakan ta faru, gazawar tana da ƙarfi kuma nan take, kuma wannan ita ce kaɗai rahama ta ƙirar.

Idan irin wannan plugin har yanzu yana lodawa a sigarka, zai iya zama ƙaramin filin aiki. Tabbatar da hanyar da aka gina shi, riƙe shi a manne da sigar da ka gwada, kuma ɗauki kowace haɓakawa a matsayin canji da ke buƙatar cikakken gwajin shiga maimakon sabunta fakiti na yau da kullum.

Abin da ƙugiyar rubutu ke dogara da shi da gaske

Ana saita ƙugiyar da auth-user-pass-verify da hanyar isarwa: masu canjin muhalli ko fayil na wucin gadi. A cikin siffar muhalli, OpenVPN yana buƙatar script-security 3, matakin da aka rubuta wanda ke ba da izinin fallasa kalmar sirri ga rubuce-rubuce. Wannan matakin rashin ƙarfi ne da gangan na tsoho, kuma ya kamata a ɗauke shi a matsayin izini tare da hujja a haɗe.

Duk abin da rubutun ya taɓa yana gado wannan amana. Dole ya kasance mallakar root, ba za a iya rubuta shi ta ƙungiya ko wasu ba, an nuna shi da cikakkiyar hanya, kuma ba shi da wurin da ƙimar da ba a amince da ita ba ta isa harsashi. Saka kowane mai canji cikin alamomin ambato, ƙi haruffan da ba a tsammani, kuma kada ka taɓa gina umarni daga sunan mai amfani da aka bayar. Rubutun da ke gudana a matsayin root a kowace ƙoƙarin shiga ya cancanci bita ɗaya saboda waɗannan halaye huɗu.

ls -l /usr/local/sbin/radius-auth.sh
stat -c '%U %a' /usr/local/sbin/radius-auth.sh

Siffar isar da fayil tana guje wa matsalar gadon muhalli kuma tana ba da bayanan shiga ga rubutun ta hanyar fayil na wucin gadi mai iyakantattun izini. Idan abokin cinikinka yana goyon bayan hakan, yawanci shine mafi kyawun tsoho, ko da yake yana ƙara wani abu don tsaftacewa idan ya gaza.

Lambobin fita suna yanke shawarar ko za ka gaza a buɗe

Matsayin fita na rubutun shine hukunci: sifili yana karɓa, wanda ba sifili ba yana ƙi. Tsarin da ke haifar da matsala shine rubutun harsashi wanda ke karɓa kawai lokacin da amsar RADIUS ta ƙunshi takamaiman alamar karɓa kuma yana mayar da gazawa ga duk wani abu, domin hakan yana haɗa abubuwa uku daban-daban cikin amsa ɗaya. Kalmar sirri mara kyau, uwar garke da ba za a iya isa ba da amsa mara kyau duk sun zama ƙi ɗaya.

Raba waɗannan lamura cikin rubutun ko da ƙugiyar za ta iya mayar da karɓa ko ƙi kawai. Yi rikodin sakamakon baya daban, faɗakar da lokacin jira da kurakuran jigilar bayanai, kuma ka bayyana a cikin sa ido lokacin da tabbaci ke gazawa saboda sabis ɗin ya ƙare ba don masu amfani suna buga kuskure ba.

Dabi'u biyu suna riƙe sauran cikin hankali. Idan RADIUS shine hukuma, ya kamata ya zama wuri ɗaya da ake duba kalmar sirri, domin tebur na inuwa yana haifar da amsoshi biyu ga tambaya ɗaya kuma na biyu shine filin hari da babu wanda ke lura da shi. Kuma ka tuna ana kiran ƙugiyar sake a kowace ƙoƙari, don haka jinkirin rubutu tare da abokin ciniki mara haƙuri ya zama mai ƙara ƙarfin hasashen kalmar sirri sai dai idan ka ƙara jinkiri ko manufa a gefen RADIUS.

Abin da kake rasa lokacin da takardar shaidar ta tafi

Yawancin turawa irin wannan suna kashe duba takardar shaidar abokin ciniki gaba ɗaya, suna barin sunan mai amfani da kalmar sirri a matsayin dukkan da'awar abokin ciniki. Abin da ke ɓacewa da wannan saitin shine ainihi bisa takardar shaidar. Tashar tana ci gaba da ɓoyewa, amma abin da ke ambaton abokin ciniki shine hukuncin RADIUS. Duk wani abu da ke ƙasa da ya dogara da batun takardar shaidar yanzu dole ya dogara da sunan mai amfani.

Ka riƙe kariyar tashar sarrafawa a wurin don ɗan'uwan da ba a tabbatar ba ba zai iya bincika ko ambaliya musafaha ba, kuma yi amfani da username-as-common-name lokacin da tsarin kowane mai amfani ya dogara da sunan gama gari. Ƙofofin da ake sarrafawa yawanci suna magance wannan dabam, suna ƙarewar tabbatar da takardar shaidar a wata ƙofa da ke magana da EAP-TLS da RADIUS, kuma a wannan yanayin babu ɗaya daga cikin waɗannan umarnin uwar garke da ke aiki. Kwafi tsarin da dandalin ku ya rubuta, ba na wani samfurin maƙwabta ba. Umarnin da suke da mahimmanci sun bambanta sosai har haɗa su yana haifar da tsari wanda ake bincika sannan ba ya tabbatar da kowa.