A PAM modul ismeretlen: melyik folyamat hibázott valójában
Az üzenet egy megosztott objektumot és egy belépési pontot nevez meg, nem jelszót. Keresse meg a naplózó folyamatot, majd ellenőrizze a betöltést, a szimbólumokat és a verem garanciáit.
Olvassa ezt a mondatot egy megosztott objektumra és egy függvénymutatóra vonatkozó kijelentésként, nem jelszóra vonatkozóként. Ugyanezek a szavak jöhetnek egy OpenVPN bővítményből, egy szolgáltatáshoz betöltött PAM-veremből vagy a RADIUS-démon belsejéből, és ez három különböző vizsgálat. Először a folyamatot határozza meg.
Az alábbi ellenőrzések feltételezik, hogy az üzenet Linux-PAM-integráción keresztül jelent meg egy VPN-bejelentkezésnél. Ha a RADIUS-kiszolgáló saját konfigurációjából származik, akkor annak a démonnak a bizonyítékaival kell kezdeni.
A folyamatot nevezze meg előbb, a csomagot csak utána
Három komponenst neveznek modulnak, és egyik sem cserélhető fel. Az OpenVPN hitelesítési bővítményt a VPN-démon tölti be, és az a démon visszahívási felületét valósítja meg. A PAM modul egy megosztott objektum, amelyet a libpam tölt be egy megnevezett szolgáltatáshoz, és amely belépési pontokat valósít meg, például pam_sm_authenticate. A FreeRADIUS modul ennek a démonnak a saját konfigurációjának része. Egy üzenet ugyanezekkel a szavakkal bármelyiktől jöhet, ezért az első kérdés az, melyik naplósor hozta létre.
Korrelálja egy sikertelen kísérlet időbélyegét a VPN-napló és a rendszer hitelesítési naplója között, majd olvassa el az összegzés előtti sorokat. A konkrét betöltő üzenet általában már ott van.
Olvassa el a betöltési hibát, majd a belépési pontot
A PAM ismeretlen modult jelent, amikor nem tudja betölteni a kiválasztott megosztott objektumot, vagy amikor a betöltött objektum nem biztosítja azt a függvényt, amelyet az a verembejegyzés megkövetel. Ezek különböző javítások: az első útvonal-, csomagolási vagy ABI-probléma, a második pedig nem illeszkedő belépési pont. Egy auth-sorhoz pam_sm_authenticate kell, míg egy fióksorhoz pam_sm_acct_mgmt kell, és egy könyvtár, amely csak az egyiket valósítja meg, a másikon elbukik, ahogy a diszpécser kód mutatja. A fájl lemezen való megtalálása egyiket sem bizonyítja.
Hasonló nevű könyvtárat venni egy másik disztribúcióból vagy CPU-architektúrából nem javítás, és egy folyamatot olyan modul betöltésénél hagyhat, amelyet soha nem teszteltek a libpam-je ellen. Bármi módosítása előtt ellenőrizze a szándékolt útvonal tulajdonos csomagját és a fájl tényleges architektúráját.
Tartsa meg a garanciákat, amelyeket a verem adott
A leggyorsabb módja ennek a hibának az elhallgattatására egyben a legrosszabb: egy kötelező modult opcionálisként megjelölni, törölni a fiók szakaszát, vagy feltétel nélküli engedélyt beszúrni. Ezek mindegyike sikertelen ellenőrzést hiányzó ellenőrzéssé alakít, és a bejelentkezés aztán olyan okokból sikerül, amelyeket senki nem szándékozott. A jelszó-visszaállítások és a közös titok módosítása sem pótol hiányzó függvényt, mert a hiba azelőtt történik, hogy bármilyen hitelesítő adat elérne egy háttérrendszert.
Egy többmodulos verem a hibázó bejegyzés előtt más háttérrendszert is futtathatott, ezért a hiba nem bizonyítja, hogy nem küldtek RADIUS-kérést.
A bejelentkezést ellenőrizze, ne a modult
Az eltérés kijavítása után tesztelje a tényleges beléptetési útvonalat. Egy érvényes fióknak sikerülnie kell, az érvénytelen hitelesítő adatoknak továbbra is el kell bukniuk, és egy tiltott fiókot továbbra is el kell utasítani. Azt is erősítse meg, hogy a tanúsítványra vagy további tényezőre vonatkozó követelmény továbbra is érvényesül, mert egy szakaszt kihagyó javított verem az ügyfél oldaláról sikernek látszik.
Egy modul tiszta betöltődése előrelépés, nem befejezett teszt.
Jegyezze fel, melyik szolgáltatásnév, mely házirendfájlok és mely belépési pontok voltak érintettek, együtt azzal az egyetlen kísérlettel, amelyet bizonyítékként használt. Ez a feljegyzés teszi a következő esetet kereséssé, nem régészeti gyakorlattá.