Аккаунтты құлыптау немесе мекенжайды бұғаттау: OpenVPN нақты қайда санайды

Мекенжайды бұғаттау мен аккаунтты құлыптау — екі түрлі механизм, олар қарама-қарсы бағытта сәтсіздікке ұшырайды. Мекенжайды бұғаттау бір дереккөзді тоқтатады, ал мақсатты аккаунт басқа жерден қолжетімді болып қалады; аккаунтты құлыптау бұл сәйкестікті барлық жерде тоқтатады, тіпті пайдаланушының өз ноутбугінде де.

Аутентификацияны PAM-ға беретін VPN үшін санағыш — PAM стекі жететін жер, тыңдаушы жазған жазба емес.

Екі санағыш, екі түрлі құрбан

Жылдамдық шектеуші дереккөзге қарап, одан жақында қанша әрекет келгенін сұрайды. Құлыптау сәйкестікке қарап, аккаунт қанша сәтсіздік жинағанын сұрайды. Біріншісі қолжетімділікті, екіншісі тіркелгі деректерін қорғайды; бірі екіншісін алмастырмайды.

Сондықтан бес сәтсіздіктен кейін IP-ны бұғаттаймыз деген сөйлем тіркелгі деректерін толтыру туралы есепке жауап емес. Шабуылдаушы дереккөздерді ауыстырады, әрқайсысы аз әрекет алады, ал аккаунт ешқашан саналмайды. Керісінше, дереккөзді бақылаусыз құлыптау шабуылдаушыға әдейі сәтсіздікке ұшырап, аккаунтты шексіз құлыпта ұстауға мүмкіндік береді.

Екі бақылаудың қалпына келтіру тарихы да өзгеше. Мекенжайды бұғаттау ешкім ойланбайтын таймермен бітеді; аккаунтты құлыптау әкімшіні, құжатталған күту мерзімін немесе өзіндік қалпына келтіруді қажет етуі мүмкін.

Санақты бұрыннан ұстайтын қойманы табыңыз

Бірдеңе қоспас бұрын сәтсіздік қоймасы бар-жоғын анықтаңыз. Жергілікті Linux аккаунты, каталог қызметі және сыртқы сәйкестік провайдері әрқайсысы өз санағын ұстайды, ал олардың алдына қойылған PAM модулі біріншісін кеңейтудің орнына екіншісін жасайды.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

VPN шынымен атайтын қызмет файлын оқып, оның қосу жолдарын қадағалаңыз. Көп дистрибутивтерде VPN қызметі ортақ файлды қосады, яғни реттеп жатқан санағыңыз SSH мен жергілікті кірулерге де қатысты.

Егер каталог құлыптауды бұрыннан қолданса, пайдалы сұрақ — PAM сұхбаты бұл шешімге қалай жетеді және VPN оны қалай хабарлайды. Үстіне қосылған жергілікті санақ каталогтың санағышына айналмайды, ал екі саясат аккаунттың қашан ашылатыны туралы келіспеуі мүмкін.

pam_faillock-те бір емес, үш шақыру орны бар

Модуль бір көшірілген жол көбіне бұлдырататын үш операцияны бөледі: аккаунттың құлыптаулы екенін тексеру, сәтсіздікті тіркеу және сәттіліктен кейін тарихты тазалау.

Ескі санақ модулінен көшу көбіне осында қателеседі. Жұмыс істеп тұрған pam_tally2 мысалынан жолды pam_faillock стегіне көшіру — қайта атау емес; құжатталған баптау өзгеше, ал дұрыс емес жердегі шақыру сәтсіздіктерді ешқашан тексермей тіркей алады.

faillock --user alice
faillock --user alice --reset

Тексеру құралы санағыштың шынайылығын көрудің ең жылдам жолы: ол аккаунттың тіркелген сәтсіздіктерін көрсетеді және оларды тазалай алады. Егер бақыланатын сәтсіздік бұл шығысты өзгертпесе, шақыру орны қате.

Арнайы қызмет атауы оқшаулау емес

VPN-ге өзінің PAM қызмет файлын беру көзделген саясатты көрінеді етеді, бірақ әсерді шектемейді. Ортақ файлды кез келген қосу сол файлдың істейтінін әкеледі, оның ішінде бүкіл жүйеге қатысты санақтар.

Құлыптау тек VPN қатынасын қамтитынын немесе сол аккаунтты аутентификациялайтын әрбір қызметті қамтитынын анық шешіңіз. Екі жауап та қорғауға болады; қате — біреуін таңдадым деп сену, ал стек екіншісін жүзеге асырады.

Содан кейін құнын ескеріңіз. Құлыптауды шабуылдаушы тудыруы мүмкін, ал зардап шегетін пайдаланушы — аккаунттың иесі. Шек, күту мерзімі және әкімшілік қалпына келтіру жолы саясаттың бөлігі, ал қалпына келтіру оқиға кезінде VPN-ді қайта конфигурациялауға тәуелді болмауы керек.

Реттілікті қабылдаңыз, бір бас тартуды емес

Бекітілген жоспар бойынша тағайындалған сәйкестіктермен сынаңыз және бір оқиға емес, тізбекті сынаңыз: жарамды аккаунт аутентификацияланады, әдейі қате құпиясөз санағышты жылжытады, бапталған құлыптау күшіне енеді және құжатталған қалпына келтіру қатынасты қайтарады.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Сәттілік тәртібін сәтсіздік тәртібінен кем емес мұқият қараңыз. Егер сәтті кіру тарихты тазаламаса, аккаунт қарапайым қателердің баяу жиналуынан кейін құлыпталады. Егер ол барлық қызметтен бәрін тазаласа, санағыш саясат айтқаннан әлсіз.

Соңында жеңісті жарияламас бұрын қадағалаусыз клиенттерді тоқтатыңыз. Сақталған тіркелгі деректері фонда қайта әрекет жасап, қалпына келтіруден кейін бірнеше минутта сәтсіздіктерді қайта жасайды және аккаунтты қайта құлыптайды. Дереккөзге негізделген жылдамдық шектеуі қосымша бақылау ретінде қалуы мүмкін, бірақ ол аккаунт саясаты емес.