OpenVPN PAM: innskráningarrökin eru þjónusta, ekki notandi

Notanda var bætt við á þjóninum, lykilorðið var slegið rétt inn, og tengingin endar samt með AUTH_FAILED. Viðbótarlínan útskýrir yfirleitt hvers vegna: orðið á eftir slóð viðbótarinnar er þjónustuheiti PAM, og það ræður því hvaða stöflum af einingum svarar spurningunni. Það er ekki notandanafn, og það er ekki vísir á lykilorðaskrá sem OpenVPN les sjálft.

Hvað annað orðið velur

Stillingarlínan tekur slóð viðbótar og eitt rök:

plugin /usr/lib/openvpn/plugins/openvpn-plugin-auth-pam.so openvpn

Þeim rökum er komið til PAM-safnsins sem þjónustuheiti, sem gerir stöfluna í /etc/pam.d/openvpn að þeirri sem keyrir. Skrifaðu login þar og þú færð í staðinn gagnvirka innskráningastefnu, með þeim einingum sem sú stefna inniheldur á dreifingunni þinni.

Notaðu slóð viðbótarinnar sem uppsetta pakkinn veitir, ekki slóð sem er afrituð af öðrum vélum. Skráarheitið og mappan eru mismunandi milli dreifinga, og röng slóð mistekst við ræsingu með villu í hleðslu viðbótar, ekki við auðkenningu.

Hvaðan staflan les reikninga í raun

PAM er dreifingaraðili. Þjónustuskráin telur einingar upp í röð, og sú fyrsta sem getur svarað ræður niðurstöðunni. Stafla sem kallar á pam_unix les staðbundna reikninga; stafla sem kallar á LDAP- eða RADIUS-einingu sendir auðkennin allt annað.

Lestu skrána sem þjónustuheitið leysist í, þar á meðal allt sem hún felur í sér:

cat /etc/pam.d/openvpn
grep -H pam_ /etc/pam.d/openvpn /etc/pam.d/common-auth

Ef staflan framselur til möppu breytir staðbundinn reikningur engu. Ef hún les staðbundna reikninga breytir það engu heldur að búa til notandann í möppunni. Reikningurinn verður að vera til þar sem staflan horfir, og það er öll greiningin í flestum þessara skýrslna.

Ein tilraun, tveir annálar

Tengdu eina misheppnaða tengingu saman á báðum hliðum. OpenVPN-annállinn sýnir niðurstöðu viðbótarinnar og synjun biðlarans; auðkenningarannáll kerfisins sýnir hvaða eining keyrði og hvað hún ákvað. Að lesa þá í sama tímaglugga er það sem aðgreinir vantaða þjónustuskrá frá tímamörkum bakenda. Eyða í auðkenningarannálnum þýðir að stöflan var aldrei náð.

journalctl -u openvpn-server@server --since "-2 min"
journalctl -t sshd -t sudo --since "-2 min"

Prófaðu þjónustuna beint með tóli sem talar PAM, svo þú sért ekki að aflúsa VPN-ið og stöfluna á sama tíma. Árangursrík bein prófun með sama þjónustuheiti og reikningi þrengir vandamálið að því hvernig dæmoninn miðlar auðkennum, ekki að reikningnum sjálfum.

pamtester openvpn alice authenticate

Ef beina prófunin mistekst með sömu auðkennum og virka í skjáhermi, er staflan ekki að lesa reikningsuppsprettuna sem þú gafst þér. Ef hún tekst skaltu skoða samtalið sem viðbótin keyrir og það sem biðlarinn sendi í raun. Keyrðu hana líka einu sinni með viljandi röngu lykilorði, svo þú sjáir muninn á synjun og einingarvillu. Þessar tvær niðurstöður líta eins út í VPN-annálnum og gjörólíkt hér.

Sérhæfð þjónusta er betri en að breyta innskráningu

Gefðu VPN-inu sína eigin þjónustuskrá þegar kröfur þess eru frábrugðnar gagnvirkri innskráningu, sem þær eru venjulega. Að breyta login eða common-auth breytir stefnunni fyrir hvert forrit sem felur þær í sér, og næsti maður sem aflúsar ótengt innskráningarvandamál erfir breytinguna þína.

Afritaðu einingarnar sem þú þarft í litla þjónustuskrá, haltu röðinni skýrri og skráðu hver á hana. Það er skráin sem á að skoða þegar endurstilling lykilorðs virðist ekki hafa áhrif.

Hvað biðlarinn sendir og hvað ekki

Biðlarinn lætur notandanafn og lykilorð í té í gegnum studda beiðni eða skrá. Þjónviðbótin miðlar þeim gildum inn í PAM-samtalið; hún les þau ekki úr stillingum þjónsins. Lína á þjónshlið sem lítur út fyrir að skilgreina lykilorð gerir það ekki, og engin sniðbreyting mun búa til reikning.

Notandanafn og lykilorð geta verið til við hlið biðlaraskírteina, og að virkja PAM er ekki ástæða til að hætta að sannreyna skírteini. Haltu lögunum sem uppsetningin ætlaði og lagaðu aðeins reikningsuppsprettuna.

Samþykki er tvíhliða: ætlaði reikningurinn tekst, og reikningur sem á að synja tekst enn ekki. Skráin README auth-pam-viðbótarinnar skjalfestir þjónusturökin og bakendana sem hún getur staðið fyrir, og þar er staðurinn til að staðfesta fyrirkomulagið sem þú ert að byggja.