Lokun reiknings eða bann á vistfangi: hvar OpenVPN telur í raun

Að loka á vistfang og að læsa reikningi eru tveir ólíkir ferlar, og þeir bregðast í gagnstæðar áttir. Bann á vistfangi stöðvar eina uppsprettu og skilur markreikninginn eftir aðgengilegan annars staðar; lokun reiknings stöðvar þessa auðkenningu alls staðar, einnig á fartölvu notandans sjálfs.

Fyrir VPN sem felur PAM auðkenningu er takkurinn það sem PAM-stakkurinn nær til, ekki það sem hlustandinn skráði.

Tveir takkar, tvö ólík fórnarlömb

Hraðatakmarkari horfir á uppsprettu og spyr hversu margar tilraunir komu þaðan nýlega. Lokun horfir á auðkenningu og spyr hversu margar bilanir reikningurinn hefur safnað. Sú fyrri verndar framboð, sú seinni auðkennin; hvorug kemur í stað hinnar.

Þess vegna er setningin við blokkum IP-ið eftir fimm bilanir ekki svar við skýrslu um fyllingu auðkenna. Árásarmaðurinn skiptir um uppsprettur, hver fær fáar tilraunir og reikningurinn er aldrei talinn. Öfugt leyfir lokun án upprunastjórnar árásarmanninum að halda reikningnum læstum endalaust með því að mistakast viljandi.

Stjórnendurnir tveir eiga líka ólíkar endurheimtasögur. Bann á vistfangi rennur út á tímamæli sem enginn þarf að hugsa um; lokun reiknings gæti þurft stjórnanda, skjalfestan biðtíma eða sjálfsafgreiðslu-endurstillingu.

Finndu geymsluna sem á talninguna þegar

Áður en þú bætir einhverju við skaltu athuga hvort geymsla bila er þegar til. Staðbundinn Linux-reikningur, skráarþjónusta og utanaðkomandi auðkennisveitandi halda hver sinni talningu, og PAM-eining fyrir framan þá býr til aðra í staðinn fyrir að stækka þá fyrstu.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Lestu þjónustuskrána sem VPN-ið nefnir í raun og fylgdu innfellingarlínum hennar. Í mörgum dreifingum fellir VPN-þjónustan inn sameiginlega skrá, sem þýðir að talningin sem þú stillir gildir líka fyrir SSH og staðbundnar innskráningar.

Ef skráin framfylgir þegar lokun, er gagnlega spurningin hvernig PAM-samtalið nær þeirri ákvörðun og hvernig VPN-ið greinir frá henni. Staðbundin talning ofan á verður ekki takkur skrárinnar, og stefnurnar tvær geta verið ósammála um hvenær reikningurinn opnast.

pam_faillock hefur þrjár kallsstöður, ekki eina

Einingin aðgreinir þrjár aðgerðir sem ein afrituð lína þvær yfirleitt út: að athuga hvort reikningurinn sé þegar læstur, að skrá bilun og að hreinsa söguna eftir árangur.

Hér fer flutningur frá eldri talningareiningu yfirleitt úrskeiðis. Að afrita línu úr virkandi pam_tally2 dæmi inn í pam_faillock stakk er ekki endurnefning; skjalfesta uppsetningin er önnur, og rangt staðsett kall getur skráð bilanir án þess að athuga þær nokkurn tíma.

faillock --user alice
faillock --user alice --reset

Skoðunartólið er fljótlegasta leiðin til að sjá hvort takkurinn er raunverulegur: það sýnir skráðar bilanir fyrir reikning og getur hreinsað þær. Ef stýrð bilun breytir ekki þeirri úttak, er staðsetning kallsins röng.

Sérstakt þjónustuheiti er ekki einangrun

Að gefa VPN-inu eigin PAM-þjónustuskrá gerir fyrirhugaða stefnu sýnilega, en takmarkar ekki áhrifin. Öll innfelling sameiginlegrar skrár dregur inn það sem skráin gerir, þar á meðal talningar fyrir allt kerfið.

Ákveddu skýrt hvort lokunin eigi að ná aðeins yfir VPN-aðgang eða hverja þjónustu sem auðkennir sama reikning. Bæði svörin eru verjanleg; mistakið er að trúa því að þú hafir valið annað á meðan stakkurinn framkvæmir hitt.

Metið síðan kostnaðinn. Árásarmaður getur komið af stað lokun, og notandinn sem þjáist er eigandi reikningsins. Þröskuldur, biðtími og stjórnunarleg endurheimtaleið eru hluti stefnunnar, og endurheimtin má ekki ráðast af því að VPN-ið sé stillt upp á nýjan leik í atviki.

Samþykktu röðina, ekki eina höfnun

Prófaðu með tilteknum auðkenningum samkvæmt samþykktri áætlun, og prófaðu keðju í stað einnar atburðar: gildur reikningur auðkennist, viljandi rangt lykilorð færir takkann, stillta lokunin tekur gildi og skjalfesta endurheimtin skilar aðganginum.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Skoðaðu hegðun við árangur jafn vandlega og hegðun við bilun. Ef árangursrík innskráning hreinsar ekki söguna mun reikningurinn læsast eftir hæga uppsöfnun venjulegra mistaka. Ef hún hreinsar allt úr hverri þjónustu er takkurinn veikari en stefnan heldur fram.

Að lokum skaltu stöðva eftirlitslausa biðla áður en þú lýsir sigri. Geymd auðkenni sem reyna aftur í bakgrunni munu skapa bilanirnar aftur mínútum eftir endurheimt og læsa reikningnum aftur. Hraðatakmörkun byggð á uppruna getur verið sem viðbótastjórn, en hún er ekki stefna reikningsins.