Неге .ovpn файлын өңдеу сервердегі MFA-ны қоса алмайды

Сіз профильге auth-user-pass қосасыз, қайта қосыласыз, және клиент пайдаланушы аты мен құпия сөзді сұрайды. MFA қосылған сияқты көрінеді. Сосын қате тіркелгінің кодын немесе он минут бұрын мерзімі біткен кодты енгізесіз, бірақ туннель бәрібір көтеріледі. Бұл — симптом: клиент өзгерді, сервер өзгерген жоқ. Бір реттік құпия сөз тек сервердегі тексеруші оның өзін талап еткен идентитет үшін жарамды ма, жоқ па деп шешкенде ғана фактор болады.

Сұраныс клиенттің сұрағанын ғана дәлелдейді, одан артық емес

.ovpn файлы — клиент жағындағы құжат. Ол клиентке тіркелгі деректерін сұрауды, оларды кэштеуді немесе кэштеуді тоқтатуды айта алады. Ол пайдаланушыны тіркей алмайды, PAM модулін орната алмайды немесе серверді қазір тексермейтін екінші факторды талап етуге мәжбүрлей алмайды.

Телефонға аутентификация қолданбасын орнату да бұл байланысты тудырмайды. Google Authenticator PAM жобасы — OTP тексеру компоненті, ол OpenVPN артында тұра алады; бұл Google тіркелгісіне кіруді импортталған профильге жапсырудың жолы емес.

Тіркеу — профиль жасай алмайтын бөлік

TOTP аутентификация қолданбасы мен оның тексерушісі арасында бөлісетін тіркеу материалын қажет етеді. Телефондағы алты цифр — шығыс; олардың артындағы тұқым — құпия, және ол бір идентитетке тиесілі.

Сондықтан операторға дұрыс тұқымды дұрыс VPN идентитетіне байланыстыратын тіркеу процесі, сонымен қатар жоғалған телефон үшін расталған ауыстыру жолы қажет. Пайдаланушыларға өз атымен аталған файлды жүктеуге рұқсат беру тіркеуді тіркелгіні иемдену мүмкіндігіне айналдырады, ал жүктеуді шифрлау мұны өзгертпейді.

PAM негізіндегі дизайн әр VPN пайдаланушысы үшін жеке Unix тіркелгісін жасауға міндетті емес. Модуль құжаттамасы баламалы құпия жолдарын және файлдарға қатынау үшін арнайы тіркелгіні қолдайды, бұл файлдық жүйе идентитеті, тексерілетін кіру идентитеті емес.

Жиі кездесетін қате — бір пайдаланушы мысалынан көшірілген, бір пайдаланушы атымен аяқталатын тіркелген құпия жол. Бұл бір идентитеттің көрсетілімі, пайдаланушы бойынша іздеу емес, және оны әр сұранысқа пайдалану ешкімге дербес тіркелген аутентификация қолданбасын бермейді. Идентитет картасын жазып қойыңыз, тұқым файлдарын қорғаңыз және құпия сөз, сертификат және тіркелгі тексерулерін бір аутентификация стегінде ұстаңыз.

PAM стегін оқып, шынында не талап етілетінін қараңыз

account required pam_permit.so сияқты жол тіркелгінің жарамдылығын іске асырмайды және фактор қоспайды. Ол PAM тіркелгілерін басқару кезеңіне рұқсат береді, бұл кезең туралы мәлімдеме, сіздің пайдаланушыларыңыз туралы емес.

Сол сияқты жұмсақ тіркеу параметрлеріне де қатысты. Тіркелген құпиясы жоқ пайдаланушыларды қабылдау әдейі жасалған енгізу шешімі болуы мүмкін, бірақ бұл MFA міндетті екенінің дәлелі емес және оны аяқталу күнімен уақытша ерекшелік ретінде жазып қою керек.

Клиенттің өзара әрекетін сервер дизайнына сәйкестендіріңіз

auth-user-pass

Бұл директива пайдаланушы аты мен құпия сөзді енгізуді сұрайды. Ол PAM-ды конфигурацияламайды, тіркеу жазбасын жасамайды және серверге құпия сөз өрісінде TOTP мәні бар екенін айтпайды. Сервер интеграциясы мен клиент орналастыру шынында қолдайтын өзара әрекет туралы келісуі керек: шақыру, құжатталған біріктірілген тіркелгі деректерінің пішімі немесе өнімге тән ағын.

Клиент бір өрісті көрсетті деп құпия сөзге код қоспаңыз. Бұл тек сервер плагині дәл сол пішімді күтетін жерде жұмыс істейді, ал қалған барлық жерде шатастыратындай сәтсіз болады.

Тұқымдар мен QR материалын ортақ профильдерден және күнделікті диагностикалық журналдардан тыс ұстаңыз. Аутентификацияланған кіру арнасы арқылы жіберілген код бақыланатын тіркеу кезінде берілген тұқыммен бірдей объект емес, және оларды қолдау билетінде араластыру құпиялардың сыртқа шығу жолы.

Қайта қосылулар, токендер және мәселені шешетін тест

Бірінші сәтті кіруден кейін не болатынын жоспарлаңыз. Бұрын қабылданған код келесі аутентификацияда мерзімі біткен немесе қайталау ретінде қабылданбауы мүмкін. auth-nocache тіркелгі деректерін сақтауды басқарады және MFA орнатпайды, ал reneg-sec 0 форум тақырыптарында қанша жиі кездессе де, TOTP қолдауының анықтамасы емес.

Кейбір орналастырулар бастапқы тексеруден кейін аутентификация токендерін шығарады, сондықтан қайта қосылулар қайта сұрамайды. Бұл өз жарамдылық терезесі мен кері қайтару тарихы бар дизайн шешімі, сіз мұраға алатын әдепкі мән емес.

Сосын қабылдау саясатын адамдар шынында пайдаланатын клиентпен сынап көріңіз. Дұрыс құпия сөзі, сертификаты және ағымдағы коды бар тіркелген пайдаланушы қосылуы керек. Қате код, тіркеусіз пайдаланушы және тыйым салынған тіркелгі — әрқайсысы сәтсіз болуы керек, ал себебі сервер журналында көрінуі тиіс. Ол бас тартуларды көрмейінше, сізде сұраныс бар, саясат емес.