Takmarka OpenVPN-innskráningar við einn hóp með PAM-stefnu

Haltu hverjum reikningi færum um að skrá sig inn venjulega, en leyfðu aðeins einum hópi að nota VPN. PAM getur tjáð þann mun án annars lykilorðageymis, og hægt er að beina OpenVPN-viðbótinni að þjónustu sem inniheldur aðeins þær athuganir sem þú ætlar þér. Bragðið er að byggja þá þjónustu án þess að erfa kerfisvíðan stafla fyrir slysni.

Gönguferðin hér byrjar á þjónustuheiti viðbótarinnar, byggir stefnu og prófar síðan þrjár niðurstöður sem skipta máli: meðlim, utanaðkomandi með gilt lykilorð og slæma skilríki.

Hvers vegna sérstök PAM-þjónusta

auth-pam viðbótin tekur þjónustuheiti sem rök sín. Það heiti velur skrá undir /etc/pam.d, og staflinn í þeirri skrá er það sem keyrir við VPN-innskráningu. Ef þú gefur sama heiti og kerfisvíð innskráning notar, erfir þú hverja ákvörðun í þeim stafla, þar á meðal þeim sem bætt var við síðar af ótengdum ástæðum.

Búðu til sérstaka þjónustu í staðinn. Byrjaðu á virkum stafla sem hefur þegar auðkennt gagnvart fyrirhuguðu bakenda, svo sem staðbundinni lykilorðaskrá, SSSD eða skráarþjónustu, og bættu síðan hæfnisreglunni við. Að afrita tvær línur í tóma skrá er algenga mistökið: lykilorðarunur, reikningslæsing og aðrar athuganir geta verið í staflanum sem þú afritaðir ekki.

Að aðgreina þjónustuna takmarkar líka umfang tjónsins. Regla sem er aðeins fyrir VPN í sameiginlegum stafla getur neitað SSH- eða stjórnborðsaðgangi fyrir alla, sem breytir aðgangsbreytingu í bilun.

Að skrifa hópregluna

Hæfnisathugunin tilheyrir reikningsfasanum, eftir að skilríkin hafa verið staðfest. Regla eins og account required pam_succeed_if.so user ingroup vpnusers leyfir vinnslunni að halda áfram aðeins þegar auðkenndi notandinn er meðlimur í þeim hópi.

Þessi lína er brot, ekki full þjónusta. Samþættu hana þar sem hver samþykkt leið nær henni, og athugaðu stjórnflöggin í kring. sufficient eða stökkstjórn fyrr í staflanum getur endað vinnsluna áður en reglan þín keyrir, sem breytir takmörkuninni í tillögu.

Bættu use_uid ekki við af vana. Án þess metur einingin notandann sem verið er að auðkenna; með því metur einingin reikninginn sem OpenVPN-ferlið keyrir undir, sem er venjulega root eða þjónustureikningur og því ekki manneskjan sem skráir sig inn.

Hópmeðlimur kemur frá auðkennisupplausn kerfisins, ekki frá nafni sem þú þekkir. Fyrir skráarnotendur skaltu staðfesta að sami bakendinn svari hópfyrirspurnum fyrir þann notanda, því staðbundinn hópur með kunnuglegt nafn er annar hlutur en skráarhópurinn með sama nafni.

Gildrur í röð og auðkenni

Settu hópregluna eftir auðkenningarstaflanum og eftir hverri athugun sem á enn að gilda, en fyrir eða við hlið reikningsathugananna sem þú heldur. PAM metur einingar í skráarröð, og stjórngildið á hverri línu ræður því hvort mistök eru endanleg.

Varastu tvöfalda stafla. Algengt mynstur er innifelling sem inniheldur þegar reikningsreglu, og síðan þín eigin hópregla, sem gefur tvær ákvarðanir þar sem þú bjóst við einni. Lestu innifelldu skrána, ekki aðeins þá sem þú breyttir. Fljótleg leið til að sjá raunverulega röð er að lesa skrána frá toppi til botns og skrá hvert stjórngildi.

Haltu öðrum inngönguskilyrðum óskertum. Vel heppnað lykilorð kemur ekki í stað vottorðsathugana, annars þáttar eða heimildar eftir tengingu, og þessi stefna kemur ekki í stað neins þeirra. Hún ræður aðeins hvort reikningurinn sé hæfur til að koma til greina fyrir VPN-aðgang.

Að prófa meðlimi, utanaðkomandi og röng lykilorð

Prófaðu þrjú tilvik áður en þú telur stefnuna fullbúna. Meðlimur tengist með góðum árangri. Gildur reikningur utan hópsins auðkennir lykilorð sitt en er neitaður um VPN-aðgang. Rangt lykilorð fyrir hvorn reikning sem er er hafnað á auðkenningarstiginu, ekki af hópreglunni.

Skoðaðu villuna sem er sýnileg biðlarano og þjónnarlogið saman, því bæði mistökin geta litið svipuð út fyrir þann sem tengist. Munurinn skiptir máli fyrir stuðning: utanaðkomandi með rétt lykilorð þarf hópsbreytingu, en rangt lykilorð krefst endurstillingar skilríkja.

Haltu annarri lotu opinni á meðan þú breytir PAM, og staðfestu einnig venjulega SSH-innskráningu eftir breytinguna. Tilgangur sérstöku þjónustunnar er að innskráning kerfisins eigi að vera ósnortin, og eina leiðin til að vita það er að prófa.

Ef eitthvað brotnar skaltu endurheimta fyrri þjónustuskrána úr afriti. Reglan sem þú vilt er einföld að orða: meðlimur gerir reikning hæfan fyrir VPN-aðgang, og hver önnur nauðsynleg athugun gildir áfram.