ಖಾತೆ ಲಾಕ್ ಮತ್ತು ವಿಳಾಸ ನಿಷೇಧ: OpenVPN ನಿಜವಾಗಿ ಎಲ್ಲಿ ಎಣಿಸುತ್ತದೆ

ವಿಳಾಸವನ್ನು ತಡೆಯುವುದು ಮತ್ತು ಖಾತೆಯನ್ನು ಲಾಕ್ ಮಾಡುವುದು ಎರಡು ವಿಭಿನ್ನ ಕಾರ್ಯವಿಧಾನಗಳು, ಮತ್ತು ಅವು ವಿರುದ್ಧ ದಿಕ್ಕಿನಲ್ಲಿ ವಿಫಲವಾಗುತ್ತವೆ. ವಿಳಾಸ ನಿಷೇಧ ಒಂದು ಮೂಲವನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ ಮತ್ತು ಗುರಿ ಖಾತೆ ಬೇರೆ ಕಡೆಯಿಂದ ತಲುಪಬಹುದಾಗಿರುತ್ತದೆ; ಖಾತೆ ಲಾಕ್ ಆ ಗುರುತನ್ನು ಎಲ್ಲೆಡೆ ನಿಲ್ಲಿಸುತ್ತದೆ, ಬಳಕೆದಾರರ ಸ್ವಂತ ಲ್ಯಾಪ್ಟಾಪ್ನಲ್ಲೂ.

ದೃಢೀಕರಣವನ್ನು PAM ಗೆ ಒಪ್ಪಿಸುವ VPN ಗೆ, ಎಣಿಕೆ ಎಂದರೆ PAM ಸ್ಟಾಕ್ ತಲುಪುವ ಸ್ಥಳ, ಶ್ರೋತೃ ದಾಖಲಿಸಿದ್ದಲ್ಲ.

ಎರಡು ಎಣಿಕೆಗಳು, ಎರಡು ವಿಭಿನ್ನ ಬಲಿಪಶುಗಳು

ದರ ಸೀಮಿತಗೊಳಿಸುವಿಕೆ ಮೂಲವನ್ನು ನೋಡಿ ಇತ್ತೀಚೆಗೆ ಅಲ್ಲಿಂದ ಎಷ್ಟು ಪ್ರಯತ್ನಗಳು ಬಂದವು ಎಂದು ಕೇಳುತ್ತದೆ. ಲಾಕ್ ಗುರುತನ್ನು ನೋಡಿ ಆ ಖಾತೆ ಎಷ್ಟು ವಿಫಲತೆಗಳನ್ನು ಸಂಗ್ರಹಿಸಿದೆ ಎಂದು ಕೇಳುತ್ತದೆ. ಮೊದಲನೆಯದು ಲಭ್ಯತೆಯನ್ನು, ಎರಡನೆಯದು ರುಜುವಾತುಗಳನ್ನು ರಕ್ಷಿಸುತ್ತದೆ; ಒಂದು ಇನ್ನೊಂದನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ.

ಆದ್ದರಿಂದ ಐದು ವಿಫಲತೆಗಳ ನಂತರ ನಾವು IP ತಡೆಯುತ್ತೇವೆ ಎಂಬ ವಾಕ್ಯ ರುಜುವಾತು ತುಂಬುವಿಕೆಯ ವರದಿಗೆ ಉತ್ತರವಲ್ಲ. ಆಕ್ರಮಣಕಾರ ಮೂಲಗಳನ್ನು ಬದಲಿಸುತ್ತಾನೆ, ಪ್ರತಿಯೊಂದಕ್ಕೂ ಕೆಲವೇ ಪ್ರಯತ್ನಗಳು ಸಿಗುತ್ತವೆ, ಮತ್ತು ಖಾತೆ ಎಂದಿಗೂ ಎಣಿಸಲ್ಪಡುವುದಿಲ್ಲ. ವಿರುದ್ಧವಾಗಿ, ಮೂಲ ನಿಯಂತ್ರಣವಿಲ್ಲದ ಲಾಕ್ ಆಕ್ರಮಣಕಾರನಿಗೆ ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ವಿಫಲವಾಗಿ ಖಾತೆಯನ್ನು ಅನಿರ್ದಿಷ್ಟವಾಗಿ ಲಾಕ್ ಇಡಲು ಅವಕಾಶ ನೀಡುತ್ತದೆ.

ಎರಡು ನಿಯಂತ್ರಣಗಳಿಗೆ ಚೇತರಿಕೆಯ ಕಥೆಗಳೂ ಬೇರೆ. ವಿಳಾಸ ನಿಷೇಧ ಯಾರೂ ಯೋಚಿಸದ ಟೈಮರ್ನಲ್ಲಿ ಮುಗಿಯುತ್ತದೆ; ಖಾತೆ ಲಾಕ್ ಗೆ ನಿರ್ವಾಹಕ, ದಾಖಲಿತ ಕಾಯುವ ಅವಧಿ ಅಥವಾ ಸ್ವಯಂ ಸೇವಾ ಮರುಹೊಂದಿಕೆ ಬೇಕಾಗಬಹುದು.

ಈಗಾಗಲೇ ಎಣಿಕೆ ಹೊಂದಿರುವ ಸಂಗ್ರಹವನ್ನು ಹುಡುಕಿ

ಏನನ್ನೂ ಸೇರಿಸುವ ಮೊದಲು ವಿಫಲತೆ ಸಂಗ್ರಹ ಈಗಾಗಲೇ ಇದೆಯೇ ಎಂದು ಕಂಡುಹಿಡಿಯಿರಿ. ಸ್ಥಳೀಯ Linux ಖಾತೆ, ಡೈರೆಕ್ಟರಿ ಸೇವೆ ಮತ್ತು ಬಾಹ್ಯ ಗುರುತು ಪೂರೈಕೆದಾರರು ಪ್ರತಿಯೊಂದೂ ತಮ್ಮ ಎಣಿಕೆಯನ್ನು ಇಟ್ಟುಕೊಳ್ಳುತ್ತವೆ, ಮತ್ತು ಅವುಗಳ ಮುಂದೆ ಇಡಲಾದ PAM ಮಾಡ್ಯೂಲ್ ಮೊದಲನೆಯದನ್ನು ವಿಸ್ತರಿಸುವ ಬದಲು ಎರಡನೆಯದನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

VPN ನಿಜವಾಗಿ ಹೆಸರಿಸುವ ಸೇವಾ ಫೈಲ್ ಓದಿ ಮತ್ತು ಅದರ ಸೇರ್ಪಡೆ ಸಾಲುಗಳನ್ನು ಅನುಸರಿಸಿ. ಅನೇಕ ವಿತರಣೆಗಳಲ್ಲಿ VPN ಸೇವೆ ಸಾಮಾನ್ಯ ಫೈಲ್ ಸೇರಿಸುತ್ತದೆ, ಅಂದರೆ ನೀವು ಹೊಂದಿಸುವ ಎಣಿಕೆ SSH ಮತ್ತು ಸ್ಥಳೀಯ ಲಾಗಿನ್ಗಳಿಗೂ ಅನ್ವಯಿಸುತ್ತದೆ.

ಡೈರೆಕ್ಟರಿ ಈಗಾಗಲೇ ಲಾಕ್ ಜಾರಿಗೊಳಿಸಿದರೆ, ಉಪಯುಕ್ತ ಪ್ರಶ್ನೆ ಎಂದರೆ PAM ಸಂಭಾಷಣೆ ಆ ನಿರ್ಣಯವನ್ನು ತಲುಪುವುದು ಹೇಗೆ ಮತ್ತು VPN ಅದನ್ನು ವರದಿ ಮಾಡುವುದು ಹೇಗೆ. ಮೇಲೆ ಸೇರಿಸಿದ ಸ್ಥಳೀಯ ಎಣಿಕೆ ಡೈರೆಕ್ಟರಿಯ ಕೌಂಟರ್ ಆಗುವುದಿಲ್ಲ, ಮತ್ತು ಎರಡು ನೀತಿಗಳು ಖಾತೆ ಯಾವಾಗ ತೆರೆಯುತ್ತದೆ ಎಂಬುದರಲ್ಲಿ ಒಪ್ಪದಿರಬಹುದು.

pam_faillock ಗೆ ಒಂದಲ್ಲ, ಮೂರು ಕರೆ ಸ್ಥಾನಗಳಿವೆ

ಮಾಡ್ಯೂಲ್ ಒಂದು ನಕಲು ಸಾಲು ಮಸುಕುಗೊಳಿಸುವ ಮೂರು ಕಾರ್ಯಾಚರಣೆಗಳನ್ನು ಬೇರ್ಪಡಿಸುತ್ತದೆ: ಖಾತೆ ಈಗಾಗಲೇ ಲಾಕ್ ಆಗಿದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸುವುದು, ವಿಫಲತೆ ದಾಖಲಿಸುವುದು ಮತ್ತು ಯಶಸ್ಸಿನ ನಂತರ ಇತಿಹಾಸ ಅಳಿಸುವುದು.

ಹಳೆಯ ಎಣಿಕೆ ಮಾಡ್ಯೂಲ್ನಿಂದ ವಲಸೆ ಸಾಮಾನ್ಯವಾಗಿ ಇಲ್ಲಿ ತಪ್ಪುತ್ತದೆ. ಕೆಲಸ ಮಾಡುವ pam_tally2 ಉದಾಹರಣೆಯಿಂದ ಸಾಲನ್ನು pam_faillock ಸ್ಟಾಕ್ಗೆ ನಕಲಿಸುವುದು ಮರುನಾಮಕರಣವಲ್ಲ; ದಾಖಲಿತ ಸಂರಚನೆ ಬೇರೆ, ಮತ್ತು ತಪ್ಪು ಸ್ಥಳದ ಕರೆ ವಿಫಲತೆಗಳನ್ನು ಎಂದಿಗೂ ಪರಿಶೀಲಿಸದೆ ದಾಖಲಿಸಬಹುದು.

faillock --user alice
faillock --user alice --reset

ಪರಿಶೀಲನಾ ಸಾಧನ ಎಣಿಕೆ ನಿಜವೇ ಎಂದು ನೋಡಲು ಅತ್ಯಂತ ವೇಗದ ದಾರಿ: ಅದು ಖಾತೆಯ ದಾಖಲಿತ ವಿಫಲತೆಗಳನ್ನು ತೋರಿಸುತ್ತದೆ ಮತ್ತು ಅವನ್ನು ಅಳಿಸಬಹುದು. ನಿಯಂತ್ರಿತ ವಿಫಲತೆ ಆ ಔಟ್ಪುಟ್ ಬದಲಿಸದಿದ್ದರೆ, ಕರೆಯ ಸ್ಥಾನ ತಪ್ಪು.

ಮೀಸಲಾದ ಸೇವಾ ಹೆಸರು ಪ್ರತ್ಯೇಕತೆ ಅಲ್ಲ

VPN ಗೆ ತನ್ನದೇ PAM ಸೇವಾ ಫೈಲ್ ನೀಡುವುದು ಉದ್ದೇಶಿತ ನೀತಿಯನ್ನು ಗೋಚರವಾಗಿಸುತ್ತದೆ, ಆದರೆ ಪರಿಣಾಮವನ್ನು ಸೀಮಿತಗೊಳಿಸುವುದಿಲ್ಲ. ಸಾಮಾನ್ಯ ಫೈಲ್ನ ಯಾವುದೇ ಸೇರ್ಪಡೆ ಆ ಫೈಲ್ ಮಾಡುವುದನ್ನು ಒಳಗೆ ತರುತ್ತದೆ, ಇಡೀ ವ್ಯವಸ್ಥೆಗೆ ಅನ್ವಯಿಸುವ ಎಣಿಕೆಗಳೂ ಸೇರಿ.

ಲಾಕ್ ಕೇವಲ VPN ಪ್ರವೇಶವನ್ನು ಆವರಿಸುತ್ತದೆಯೇ ಅಥವಾ ಅದೇ ಖಾತೆಯನ್ನು ದೃಢೀಕರಿಸುವ ಪ್ರತಿಯೊಂದು ಸೇವೆಯನ್ನೂ ಆವರಿಸುತ್ತದೆಯೇ ಎಂದು ಸ್ಪಷ್ಟವಾಗಿ ನಿರ್ಧರಿಸಿ. ಎರಡೂ ಉತ್ತರಗಳು ಸಮರ್ಥನೀಯ; ವೈಫಲ್ಯ ಎಂದರೆ ಒಂದನ್ನು ಆರಿಸಿದೆ ಎಂದು ನಂಬುವುದು, ಆದರೆ ಸ್ಟಾಕ್ ಇನ್ನೊಂದನ್ನು ಜಾರಿಗೊಳಿಸುತ್ತದೆ.

ನಂತರ ವೆಚ್ಚವನ್ನು ಪರಿಗಣಿಸಿ. ಆಕ್ರಮಣಕಾರ ಲಾಕ್ ಉಂಟುಮಾಡಬಹುದು, ಮತ್ತು ಸಂಕಟ ಪಡುವ ಬಳಕೆದಾರ ಆ ಖಾತೆಯ ಮಾಲೀಕ. ಮಿತಿ, ಕಾಯುವ ಅವಧಿ ಮತ್ತು ಆಡಳಿತಾತ್ಮಕ ಚೇತರಿಕೆ ಮಾರ್ಗ ನೀತಿಯ ಭಾಗ, ಮತ್ತು ಘಟನೆಯ ಸಮಯದಲ್ಲಿ VPN ಮರುಸಂರಚನೆಯ ಮೇಲೆ ಚೇತರಿಕೆ ಅವಲಂಬಿತವಾಗಿರಬಾರದು.

ಒಂದು ನಿರಾಕರಣೆಯಲ್ಲ, ಕ್ರಮವನ್ನು ಒಪ್ಪಿಕೊಳ್ಳಿ

ಅನುಮೋದಿತ ಯೋಜನೆಯ ಅಡಿಯಲ್ಲಿ ನಿಗದಿತ ಗುರುತುಗಳೊಂದಿಗೆ ಪರೀಕ್ಷಿಸಿ, ಮತ್ತು ಒಂದು ಘಟನೆಯ ಬದಲು ಸರಣಿಯನ್ನು ಪರೀಕ್ಷಿಸಿ: ಮಾನ್ಯ ಖಾತೆ ದೃಢೀಕರಿಸುತ್ತದೆ, ಉದ್ದೇಶಪೂರ್ವಕ ತಪ್ಪು ಗುಪ್ತಪದ ಎಣಿಕೆಯನ್ನು ಚಲಿಸುತ್ತದೆ, ಸಂರಚಿತ ಲಾಕ್ ಜಾರಿಗೆ ಬರುತ್ತದೆ, ಮತ್ತು ದಾಖಲಿತ ಚೇತರಿಕೆ ಪ್ರವೇಶವನ್ನು ಮರಳಿಸುತ್ತದೆ.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

ಯಶಸ್ಸಿನ ವರ್ತನೆಯನ್ನು ವಿಫಲತೆಯಷ್ಟೇ ಎಚ್ಚರಿಕೆಯಿಂದ ನೋಡಿ. ಯಶಸ್ವಿ ಲಾಗಿನ್ ಇತಿಹಾಸ ಅಳಿಸದಿದ್ದರೆ, ಸಾಮಾನ್ಯ ತಪ್ಪುಗಳ ನಿಧಾನ ಸಂಗ್ರಹದ ನಂತರ ಖಾತೆ ಲಾಕ್ ಆಗುತ್ತದೆ. ಪ್ರತಿ ಸೇವೆಯಿಂದ ಎಲ್ಲವನ್ನೂ ಅಳಿಸಿದರೆ, ಎಣಿಕೆ ನೀತಿ ಹೇಳುವುದಕ್ಕಿಂತ ದುರ್ಬಲ.

ಕೊನೆಯದಾಗಿ, ವಿಜಯ ಘೋಷಿಸುವ ಮೊದಲು ಮೇಲ್ವಿಚಾರಣೆ ಇಲ್ಲದ ಕ್ಲೈಂಟ್ಗಳನ್ನು ನಿಲ್ಲಿಸಿ. ಉಳಿಸಿದ ರುಜುವಾತು ಹಿನ್ನೆಲೆಯಲ್ಲಿ ಮತ್ತೆ ಪ್ರಯತ್ನಿಸಿ ಚೇತರಿಕೆಯ ಕೆಲವು ನಿಮಿಷಗಳ ನಂತರ ವಿಫಲತೆಗಳನ್ನು ಮತ್ತೆ ಸೃಷ್ಟಿಸಿ ಖಾತೆಯನ್ನು ಮತ್ತೆ ಲಾಕ್ ಮಾಡುತ್ತದೆ. ಮೂಲ ಆಧಾರಿತ ದರ ಮಿತಿ ಹೆಚ್ಚುವರಿ ನಿಯಂತ್ರಣವಾಗಿ ಉಳಿಯಬಹುದು, ಆದರೆ ಅದು ಖಾತೆ ನೀತಿಯಲ್ಲ.