LDAP-auðkenning OpenVPN virkar en hópprófið mistekst: hvert á að líta

Skilríkin ganga í gegn, göngin fara að rísa og þá mistekst lotan með skilaboðum um hópinn frekar en lykilorðið. Þessi samsetning setur bilunina í seinni helming vinnu LDAP-viðbótarinnar: bindingin og lykilorðsprófið tókust, en aðildarákvörðunin sem kemur á eftir ekki. Báðir helmingarnir lesa úr sama stillingarhluta, þess vegna getur lagfæring á einum stað látið hinn ósnortinn. Byrjaðu á lógslínunni sem nefnir skrefið, ekki á reikningnum sem þú ert fyrir tilviljun að prófa með.

Líttu á höfnunina sem svar um heimild

Viðbótin framkvæmir þjónustubindingu, leitar að reikningnum, staðfestir lykilorðið sem gefið var og spyr þá hvort sá reikningur tilheyri leyfðum hópi. Þetta eru fjórar aðskildar aðgerðir, og aðeins sú síðasta snýr að hópum. Höfnun sem kemur eftir árangursríka bindingu segir því ekkert um lykilorðið, jafnvel þótt biðlarinn sýni almenna auðkenningarvillu. Að hækka lógstig viðbótarinnar áður en stillingunni er breytt er það sem aðgreinir fjórurnar í úttakinu.

Leitaðu að matinu á hópnum sjálfu. Þegar engin hópfyrirspurn birtist yfirhöfuð er heimildarblokkin ekki náð, sem þýðir venjulega að tilskipun stendur utan þeirrar blokkar sem á hana eða að skilyrðisvalkostur vantar. Þegar fyrirspurnin birtist og skilar engu svarar endapunkturinn eða sían annarri spurningu en þeirri sem þú áttir við.

Ákveddu hvort aðildin býr í síunni eða í hópblokk

Það eru tvö studd form, og að blanda þeim er leiðin sem virk stilling hættir að virka. Fyrra formið ýtir aðildinni inn í notendaleitina með því að biðja um eiginleika á notendahlutnum; seinna formið lætur notendaleitina í friði og lætur viðbótina leita að hópahlutnum eftir á. Veldu eitt fyrir hverja uppsetningu og skrifaðu niður hvort þú valdir.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(&(sAMAccountName=%u)(memberOf=CN=VPN Access,OU=Groups,DC=example,DC=org))"
    RequireGroup false
</Authorization>

Með því formi ræður sían öllu, svo RequireGroup verður að vera false, annars fer viðbótin að leita að hópahlut sem sían nefndi aldrei. Eiginleikinn í síunni verður að vera til á notendahlutnum og fylltur, sem er ekki tryggt þegar hópar eru faldaðir.

Hitt formið heldur leitinni einfaldri og bætir hópleit við á eftir. Hópahluturinn er nefndur skýrt, og viðbótin ber notandann saman við þá meðlimi sem skráin skilar fyrir hann. Ekkert breytist í notendasíunni, sem gerir þetta form auðveldara að endurskoða þegar annað teymi sér um hópinn.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(sAMAccountName=%u)"
    RequireGroup true
    Group        "CN=VPN Access,OU=Groups,DC=example,DC=org"
</Authorization>

Blindi bletturinn er sameiginlegur: einfaldur aðildarsamanburður útvíkkar ekki faldaða hópa, svo reikningur sem fær aðgang í gegnum yfirhóp mistekst á meðan stjórnborðið sýnir aðildina enn. Active Directory birtir member á hópnum, önnur skema nota uniqueMember, og að benda á rangann eiginleika skilar tómu niðurstöðu í stað villu.

Veldu endapunkt sem geymir hópahlutinn

URL-ið ræður því hvaða skrá viðbótin spyr, og lénstýring á porti 389 svarar aðeins fyrir sitt eigið nafnrymi. Alheimsskrá á porti 3268 svarar fyrir allan skóginn, aðeins til lestrar og með hlutasetti eiginleika. Þegar reikningarnir eru í einu léni og VPN-hópurinn í öðru getur fyrirspurn í einu léni fundið notandann og samt misst aðildina. Þetta er tilfellið þar sem að færa URL-ið á skráarportið leysir höfnunina, og það er líka tilfellið þar sem fólk alhæfir of langt.

Hlutasettið er mörkin: eiginleika sem skráin geymir ekki er ekki hægt að sía eftir, svo sama breytingin getur látið eina uppsetningu virka og aðra skila engu. Staðfestu hvað endapunkturinn skilar í raun fyrir raunverulegan notanda og hóp áður en þú endurskrifar hlutann. Tilvísanir og TLS eru aftur aðskilin atriði, því fylgja þarf tilvísun og endapunktur sem krefst TLS þarf samsvarandi traustskrár.

Haltu reikningsstöðu og leitarumfangi í eigin reitum

Óvirkt-fáninn tilheyrir síunni, ekki hópprófinu. Í Active Directory er það annar biti userAccountControl, og án þess skilyrðis auðkennir óvirkur reikningur með gilt lykilorð sig og mistekst svo á hópskrefinu, sem lítur út eins og heimildargalli. Leitarumfangið tilheyrir grunn-DN-inu, því að byrja við rót lénsins er hægara og getur sótt hluti utan þeirrar stofnanaeiningar sem þú ætlaðir að ná yfir.

Haltu réttindum bindingarreikningsins einnig þröngum. Víð réttindi í skránni gera rangstillta síu að árangursríkri fyrirspurn og fela gallann þar til einhver endurskoðar reikninginn. Breyttu aðild í skránni sjálfri, aldrei í staðbundnum undantekningarlista, svo að óvirkja reikninginn nægi til að fjarlægja aðgang. Ef annað teymi sér um hópinn skaltu semja um eiginleikann sem þau fylla áður en þú skrifar síu á hann.

Sannaðu niðurstöðuna með þremur reikningum

Keyrðu stillinguna á móti þremur auðkennum: leyfður meðlimur, gilt reikningur utan hópsins og reikningur sem hefur verið gerður óvirkur. Ef öllum þremur er hafnað er bindingin eða hópfyrirspurnin brotin; ef öll þrjú eru samþykkt er ekkert hópskilyrði beitt yfirhöfuð. Blanduð niðurstaða er eina niðurstaðan sem sannar að stillingin greini þau tilfelli sem þér eru mikilvæg.

Lestu sömu þrjú svörin beint úr skránni áður en þú kennir viðbótinni um. Fyrsta fyrirspurnin sýnir hópeiginleikann sem sían reiðir sig á, og önnur sýnir gildi reikningsstýringarinnar. Skiptu út fyrir þína eigin grunn-DN, reikning og endapunkt:

ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=alice)" memberOf
ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=bob)" userAccountControl

Notandi sem memberOf hans kemur tómur til baka er staðreynd úr skránni, ekki galli í viðbótinni, og reikningur sem auðkennir sig enn eftir að hafa verið gerður óvirkur þýðir að síuna vantar skilyrðið um reikningsstýringu. Lagaðu þá sönnun fyrst og keyrðu svo þriggja reikninga prófið aftur. Haltu lógslínunni sem nefndi misheppnaða skrefið við hlið stillingarbreytingarinnar, svo næsta manneskja geti aðskilið heimild frá auðkenningu án þess að endurtaka leitina.