Að tengja RADIUS við OpenVPN: viðbót eða skriftukrókur?

Viðbótin er enn ráðlögð í þráðum sem eru eldri en núverandi útgáfur, og hún mistekst við hleðslu á netþjóni sem var þýddur í gær. Þetta er ekki stillingarvilla sem hægt er að laga með slóð. Viðbótin og skriftukrókurinn leysa sama vandamálið á mismunandi lögum, og að færa sig frá öðru til hins breytir því hvað þarf að setja upp, hvað keyrir með réttindum netþjóns og hvað misheppnuð innskráning segir þér í raun.

Goðsögnin: viðbótin er studda leiðin

Viðbót er sameiginlegt hlutur sem hlaðið er inn í OpenVPN-ferlið, svo hún verður að passa við það viðmót sem ferlið býður upp á. Útgáfur breytast, pökkun breytist, og bókasafn sem þýtt var fyrir eldra viðmót neitar einfaldlega að hlaðast. Ekkert í stillingum netþjónsins getur brúað þetta bil, þess vegna endar ráðið "settu bara upp radiusplugin" með netþjóni sem ræsist ekki.

Skriftukrókurinn stendur hins vegar utan ferlisins. OpenVPN keyrir forrit, afhendir því skírteinin og les úrskurð til baka. Þessi aðskilnaður er það sem gerir honum kleift að lifa af uppfærslur, og hann gerir hann líka að þinni ábyrgð á þann hátt sem viðbótin var aldrei.

Hvor aðferðin er ekki öruggari vegna uppbyggingar sinnar. Önnur keyrir erlendan kóða inni í púkanum; hin keyrir þinn kóða við hlið hans með skírteinin í hendi. Rétta spurningin er hvor þessara tveggja áhætta þú getur raunverulega rekið.

Hvað viðbótin batt saman

Viðbótin bar sinn eigin stillingarskrá með RADIUS-hýsinum, sameiginlega leynilyklinum, fjölda endurtilrauna og tímamörkum, og stilling netþjónsins vísaði til hennar með einni línu. Meðferð skírteina var inni í netþjónsferlinu, sem þýddi að lykilorðið fór aldrei yfir ferlamörk sem stjórnandinn þurfti að tryggja.

Kostnaðurinn var tengingin. Sérhver uppfærsla OpenVPN stefndi í ósamhæft viðmót, og sérhver dreifing sem endurbyggði pakkann stefndi í bókasafn sem passar ekki lengur. Þegar það gerist er bilunin hávær og tafarlaus, og það er eina miskunn hönnunarinnar.

Ef slík viðbót hleðst enn á þína útgáfu getur hún verið minna rekstraryfirborðið. Staðfestu viðmótið sem hún var byggð fyrir, haltu henni festri við útgáfuna sem þú prófaðir, og meðhöndlaðu hverja uppfærslu sem breytingu sem krefst fullrar innskráningarprófunar en ekki venjubundinnar pakkauppfærslu.

Hverju skriftukrókurinn treystir í raun

Krókurinn er stilltur með auth-user-pass-verify og afhendingaraðferð: umhverfisbreytum eða tímabundinni skrá. Í umhverfisforminu krefst OpenVPN script-security 3, skjalfestu stigið sem leyfir að lykilorð sé birt skriftum. Það stig er viljandi veiking á sjálfgefnu gildi, og á að meðhöndla sem heimild með rökstuðningi meðfylgjandi.

Allt sem skriftin snertir erfir það traust. Hún verður að vera í eigu root, ekki skrifanleg fyrir hóp eða aðra, vísuð með algildri slóð og laus við hvern þann stað þar sem ótraust gildi nær í skel. Settu hverja breytu innan gæsalappa, hafnaðu óvæntum stöfum og byggðu aldrei skipun úr uppgefnu notandanafni. Skrift sem keyrir sem root við hverja innskráningartilraun á skilið eina yfirferð einmitt vegna þessara fjögurra eiginleika.

ls -l /usr/local/sbin/radius-auth.sh
stat -c '%U %a' /usr/local/sbin/radius-auth.sh

Afhendingarform skrár forðast vandamálið með arfleifð umhverfisins og afhendir skriftinni skírteinin í gegnum tímabundna skrá með takmörkuðum heimildum. Ef biðlarinn þinn styður það er það venjulega betra sjálfgefið gildi, þótt það bæti við einum hlut til að hreinsa ef mistekst.

Útgöngukóðar ráða því hvort þú mistekst opið

Útgöngustaða skriftarinnar er úrskurðurinn: núll tekur við, ekki núll hafnar. Mynstrið sem veldur vandræðum er skeljarskrift sem tekur aðeins við þegar RADIUS-svarið inniheldur ákveðið samþykkistákn og skilar mistökum fyrir allt annað, því það steypir þremur mismunandi atburðum í eitt svar. Rangt lykilorð, óaðgengilegur netþjónn og aflagað svar verða öll sama höfnunin.

Aðskildu þessi tilvik í skriftinni þótt krókurinn geti aðeins skilað samþykki eða höfnun. Skráðu niðurstöðu bakendans sér, láttu gjalda við tímamörkum og flutningsvillum, og gerðu ljóst í vöktun þegar auðkenning mistekst vegna þess að þjónustan er niðri en ekki vegna þess að notendur slá rangt inn.

Tvær venjur halda restinni skynsamlegri. Ef RADIUS er valdið á það að vera eini staðurinn þar sem lykilorð er athugað, því skuggatafla býr til tvö svör við sömu spurningu og hið síðara er árásaryfirborð sem enginn fylgist með. Og mundu að krókurinn er kallaður aftur við hverja endurtilraun, svo hæg skrift ásamt óþolinmóðum biðlara verður magnari fyrir gisk á lykilorðum nema þú bætir við töf eða stefnu á RADIUS-hliðinni.

Hverju þú gefur eftir þegar skírteinið hverfur

Margar uppsetningar af þessari gerð slökkva algjörlega á athugun biðlaraskírteinis og láta notandanafn og lykilorð vera alla kröfu biðlarans. Það sem hverfur með þeirri stillingu er sjálfsmynd byggð á skírteini. Rásin helst dulkóðuð, en það eina sem nefnir biðlarann er úrskurður RADIUS. Hvað sem er niðstreyms sem áður byggði á viðfangi skírteinis verður nú að byggja á notandanafninu.

Haltu vernd stýrirásarinnar á sínum stað svo óauðkenndur jafningi geti ekki kannað eða flætt handabandið, og notaðu username-as-common-name þegar stilling á hvern notanda fer eftir sameiginlega nafninu. Stýrðir gáttir leysa þetta oft á annan hátt og ljúka skírteinisauðkenningu við gátt sem talar EAP-TLS við RADIUS, og í því tilviki gilda engar þessara netþjónsfyrirmæla. Afritaðu líkanið sem þín eigin vettvangur skjalfestir, ekki það frá nágrannavöru. Fyrirmælin sem skipta máli eru nógu ólík til að blanda þeim saman gefi stillingu sem þáttar sig og auðkennir svo engan.