OpenVPN кірулерін PAM саясатымен бір топқа шектеу

Әрбір тіркелгінің қалыпты кіру мүмкіндігін сақтаңыз, бірақ VPN-ді тек бір топ қолдансын. PAM бұл айырмашылықты екінші құпиясөз қоймасынсыз білдіре алады, ал OpenVPN плагинін тек өзіңіз көздеген тексерулерді қамтитын қызметке бағыттауға болады. Айла — сол қызметті жүйелік стекті кездейсоқ мұраланбай құру.

Бұл шолу плагиннің қызмет атауынан басталады, саясат құрады, содан кейін маңызды үш нәтижені тексереді: мүше, жарамды құпиясөзі бар бөгде адам және нашар тіркелгі деректері.

Неге бөлек PAM қызметі

auth-pam плагині өз аргументі ретінде қызмет атауын қабылдайды. Бұл атау /etc/pam.d астындағы файлды таңдайды, және сол файлдағы стек VPN кіруі кезінде іске қосылады. Егер жүйелік кіру қолданатын дәл сол атауды берсеңіз, сол стектегі әрбір шешімді, кейін байланыссыз себептермен қосылғандарын да мұралайсыз.

Оның орнына арнайы қызмет жасаңыз. Көзделген backend-ке қарсы әлдеқашан аутентификация жасайтын жұмыс істеп тұрған стектен бастаңыз, мысалы, жергілікті құпиясөз файлы, SSSD немесе каталог қызметі, содан кейін жарамдылық ережесін қосыңыз. Бос файлға екі жолды көшіру — жиі кездесетін қате: құпиясөздің мерзімінің бітуі, тіркелгінің құлыпталуы және басқа тексерулер сіз көшірмеген стекте болуы мүмкін.

Қызметті бөлу залал ауқымын да шектейді. Ортақ стектегі тек-VPN ережесі барлығына SSH немесе консоль қатынауын тыйып, қатынау өзгерісін үзіліске айналдыруы мүмкін.

Топ ережесін жазу

Жарамдылық тексеруі тіркелгі деректері расталғаннан кейінгі тіркелгі кезеңіне жатады. account required pam_succeed_if.so user ingroup vpnusers сияқты ереже өңдеуді тек аутентификацияланған пайдаланушы сол топтың мүшесі болғанда жалғастыруға рұқсат етеді.

Бұл жол — фрагмент, толық қызмет емес. Оны әрбір қабылданған жол жететін жерге кірістіріңіз және айналасындағы басқару жалаушаларын тексеріңіз. Стектегі ертерек sufficient немесе секіру басқаруы сіздің ережеңіз іске қосылмай тұрып өңдеуді аяқтауы мүмкін, бұл шектеуді ұсынысқа айналдырады.

use_uid-ді әдеттен қоспаңыз. Онсыз модуль аутентификацияланып жатқан пайдаланушыны бағалайды; онымен модуль OpenVPN процесі жұмыс істеп тұрған тіркелгіні бағалайды, ол әдетте root немесе қызметтік тіркелгі, сондықтан кіріп жатқан адам емес.

Топ мүшелігі жүйенің сәйкестілік шешімінен келеді, сіз білетін аттан емес. Каталог пайдаланушылары үшін сол backend сол пайдаланушының топтық сұрауларына жауап беретінін растаңыз, өйткені таныс атаулы жергілікті топ сол аттағы каталог тобынан басқа нысан.

Реттілік пен сәйкестілік тұзақтары

Топ ережесін аутентификация стекінен кейін және әлі күшінде қалуы тиіс әрбір тексеруден кейін, бірақ өзіңіз сақтайтын тіркелгі тексерулерінің алдында немесе қасында орналастырыңыз. PAM модульдерді файл ретімен бағалайды, ал әр жолдағы басқару мәні сәтсіздіктің түпкілікті екенін анықтайды.

Қосарланған стектерден сақ болыңыз. Жиі үлгі — құрамында тіркелгі ережесі бар include, одан кейін өз топ ережеңіз, бұл бір шешім күткен жерде екі шешім тудырады. Тек өңдеген файлды ғана емес, қосылған файлды да оқыңыз. Нақты ретті көрудің жылдам жолы — файлды жоғарыдан төменге оқып, әр басқару мәнін жазып алу.

Қабылдаудың басқа талаптарын бүлінбейтін күйде ұстаңыз. Сәтті құпиясөз сертификат тексерулерін, екінші факторды немесе қосылымнан кейінгі рұқсаттауды алмастырмайды, және бұл саясат олардың ешқайсысының орнын баспайды. Ол тіркелгінің VPN қатынауы үшін қарастырылуға жарамды екенін ғана шешеді.

Мүшелерді, бөгделерді және қате құпиясөздерді тексеру

Саясатты аяқталған деп санамас бұрын үш жағдайды тексеріңіз. Мүше сәтті қосылады. Топтан тыс жарамды тіркелгі құпиясөзін аутентификациялайды, бірақ VPN қатынауынан бас тартылады. Кез келген тіркелгі үшін қате құпиясөз аутентификация кезеңінде қабылданбайды, топ ережесімен емес.

Клиентке көрінетін қатені және сервер журналын бірге қараңыз, өйткені екі сәтсіздік те қосылып жатқан адамға ұқсас көрінуі мүмкін. Айырмашылық қолдау үшін маңызды: құпиясөзі дұрыс бөгде адамға топты өзгерту қажет, ал қате құпиясөз тіркелгі деректерін қалпына келтіруді талап етеді.

PAM-ды өңдеп жатқанда екінші сессияны ашық ұстаңыз және өзгерістен кейін қарапайым SSH кіруін де тексеріңіз. Арнайы қызметтің мәні — жүйелік кіру әсерсіз қалуы тиіс, және оны білудің жалғыз жолы — оны тексеру.

Бірдеңе бұзылса, алдыңғы қызмет файлын көшірмеден қалпына келтіріңіз. Қалаған ережеңізді айту оңай: мүшелік тіркелгіні VPN қатынауына жарамды етеді, ал қалған барлық міндетті тексерулер әлі де күшінде.