PAM ನೀತಿಯೊಂದಿಗೆ OpenVPN ಲಾಗಿನ್ಗಳನ್ನು ಒಂದು ಗುಂಪಿಗೆ ಸೀಮಿತಗೊಳಿಸಿ

ಪ್ರತಿ ಖಾತೆಯೂ ಸಾಮಾನ್ಯವಾಗಿ ಲಾಗಿನ್ ಆಗಲು ಅನುವು ಮಾಡಿ, ಆದರೆ VPN ಬಳಸಲು ಒಂದು ಗುಂಪಿಗೆ ಮಾತ್ರ ಅನುಮತಿಸಿ. PAM ಎರಡನೇ ಪಾಸ್ವರ್ಡ್ ಶೇಖರಣೆಯಿಲ್ಲದೆ ಆ ವ್ಯತ್ಯಾಸವನ್ನು ವ್ಯಕ್ತಪಡಿಸಬಹುದು, ಮತ್ತು OpenVPN ಪ್ಲಗಿನ್ ಅನ್ನು ನೀವು ಉದ್ದೇಶಿಸಿದ ಪರಿಶೀಲನೆಗಳನ್ನು ಮಾತ್ರ ಹೊಂದಿರುವ ಸೇವೆಗೆ ನಿರ್ದೇಶಿಸಬಹುದು. ಸಿಸ್ಟಂ-ವ್ಯಾಪಿ ಸ್ಟಾಕ್ ಅನ್ನು ಆಕಸ್ಮಿಕವಾಗಿ ಬಳುವಳಿಯಾಗಿ ಪಡೆಯದೆ ಆ ಸೇವೆಯನ್ನು ನಿರ್ಮಿಸುವುದೇ ಉಪಾಯ.

ಇಲ್ಲಿನ ಪ್ರಯಾಣವು ಪ್ಲಗಿನ್ನ ಸೇವಾ ಹೆಸರಿನಿಂದ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ, ನೀತಿಯನ್ನು ನಿರ್ಮಿಸುತ್ತದೆ, ನಂತರ ಮೂರು ಮುಖ್ಯ ಫಲಿತಾಂಶಗಳನ್ನು ಪರೀಕ್ಷಿಸುತ್ತದೆ: ಸದಸ್ಯ, ಮಾನ್ಯ ಪಾಸ್ವರ್ಡ್ ಹೊಂದಿರುವ ಹೊರಗಿನವರು ಮತ್ತು ಕೆಟ್ಟ ರುಜುವಾತು.

ಪ್ರತ್ಯೇಕ PAM ಸೇವೆ ಏಕೆ

auth-pam ಪ್ಲಗಿನ್ ತನ್ನ ಆರ್ಗ್ಯುಮೆಂಟ್ ಆಗಿ ಸೇವಾ ಹೆಸರನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ. ಆ ಹೆಸರು /etc/pam.d ಅಡಿಯಲ್ಲಿ ಫೈಲ್ ಅನ್ನು ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಆ ಫೈಲ್ನ ಸ್ಟಾಕ್ VPN ಲಾಗಿನ್ ಸಮಯದಲ್ಲಿ ಚಲಿಸುವುದು. ಸಿಸ್ಟಂ-ವ್ಯಾಪಿ ಲಾಗಿನ್ ಬಳಸುವ ಅದೇ ಹೆಸರನ್ನು ನೀಡಿದರೆ, ಆ ಸ್ಟಾಕ್ನ ಪ್ರತಿಯೊಂದು ನಿರ್ಧಾರವನ್ನೂ ನೀವು ಬಳುವಳಿಯಾಗಿ ಪಡೆಯುತ್ತೀರಿ, ನಂತರ ಅಸಂಬದ್ಧ ಕಾರಣಗಳಿಗಾಗಿ ಸೇರಿಸಿದವುಗಳೂ ಸೇರಿ.

ಬದಲಾಗಿ ಮೀಸಲಾದ ಸೇವೆಯನ್ನು ರಚಿಸಿ. ಈಗಾಗಲೇ ಉದ್ದೇಶಿತ backend ವಿರುದ್ಧ ದೃಢೀಕರಿಸುವ ಕೆಲಸದ ಸ್ಟಾಕ್ನಿಂದ ಪ್ರಾರಂಭಿಸಿ, ಉದಾಹರಣೆಗೆ ಸ್ಥಳೀಯ ಪಾಸ್ವರ್ಡ್ ಫೈಲ್, SSSD ಅಥವಾ ಡೈರೆಕ್ಟರಿ ಸೇವೆ, ನಂತರ ಅರ್ಹತೆಯ ನಿಯಮವನ್ನು ಸೇರಿಸಿ. ಖಾಲಿ ಫೈಲ್ಗೆ ಎರಡು ಸಾಲುಗಳನ್ನು ನಕಲಿಸುವುದು ಸಾಮಾನ್ಯ ತಪ್ಪು: ಪಾಸ್ವರ್ಡ್ ಮುಕ್ತಾಯ, ಖಾತೆ ಲಾಕ್ ಮತ್ತು ಇತರ ಪರಿಶೀಲನೆಗಳು ನೀವು ನಕಲಿಸದ ಸ್ಟಾಕ್ನಲ್ಲಿರಬಹುದು.

ಸೇವೆಯನ್ನು ಪ್ರತ್ಯೇಕಿಸುವುದು ಹಾನಿಯ ವ್ಯಾಪ್ತಿಯನ್ನೂ ಸೀಮಿತಗೊಳಿಸುತ್ತದೆ. ಹಂಚಿಕೆಯ ಸ್ಟಾಕ್ನಲ್ಲಿ VPN-ಮಾತ್ರ ನಿಯಮವು ಎಲ್ಲರಿಗೂ SSH ಅಥವಾ ಕನ್ಸೋಲ್ ಪ್ರವೇಶವನ್ನು ನಿರಾಕರಿಸಬಹುದು, ಇದು ಪ್ರವೇಶ ಬದಲಾವಣೆಯನ್ನು ಅಡಚಣೆಯಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ.

ಗುಂಪಿನ ನಿಯಮ ಬರೆಯುವುದು

ಅರ್ಹತಾ ಪರಿಶೀಲನೆ ರುಜುವಾತು ಪರಿಶೀಲಿಸಿದ ನಂತರದ ಖಾತೆ ಹಂತಕ್ಕೆ ಸೇರುತ್ತದೆ. account required pam_succeed_if.so user ingroup vpnusers ನಂತಹ ನಿಯಮವು ದೃಢೀಕೃತ ಬಳಕೆದಾರರು ಆ ಗುಂಪಿನ ಸದಸ್ಯರಾಗಿದ್ದಾಗ ಮಾತ್ರ ಸಂಸ್ಕರಣೆ ಮುಂದುವರಿಯಲು ಅನುಮತಿಸುತ್ತದೆ.

ಆ ಸಾಲು ಒಂದು ತುಣುಕು, ಪೂರ್ಣ ಸೇವೆಯಲ್ಲ. ಪ್ರತಿ ಸ್ವೀಕೃತ ಮಾರ್ಗವೂ ಅದನ್ನು ತಲುಪುವ ಸ್ಥಳದಲ್ಲಿ ಅದನ್ನು ಸಂಯೋಜಿಸಿ, ಮತ್ತು ಅದರ ಸುತ್ತಲಿನ ನಿಯಂತ್ರಣ ಫ್ಲ್ಯಾಗ್ಗಳನ್ನು ಪರಿಶೀಲಿಸಿ. ಸ್ಟಾಕ್ನಲ್ಲಿ ಹಿಂದಿನ sufficient ಅಥವಾ ಜಂಪ್ ನಿಯಂತ್ರಣವು ನಿಮ್ಮ ನಿಯಮ ಚಲಿಸುವ ಮೊದಲೇ ಸಂಸ್ಕರಣೆಯನ್ನು ಕೊನೆಗೊಳಿಸಬಹುದು, ಇದು ನಿರ್ಬಂಧವನ್ನು ಸಲಹೆಯಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ.

ಅಭ್ಯಾಸದಿಂದ use_uid ಸೇರಿಸಬೇಡಿ. ಅದಿಲ್ಲದೆ ಮಾಡ್ಯೂಲ್ ದೃಢೀಕರಿಸಲ್ಪಡುವ ಬಳಕೆದಾರರನ್ನು ಮೌಲ್ಯಮಾಪನ ಮಾಡುತ್ತದೆ; ಅದರೊಂದಿಗೆ ಮಾಡ್ಯೂಲ್ OpenVPN ಪ್ರಕ್ರಿಯೆ ಚಲಿಸುವ ಖಾತೆಯನ್ನು ಮೌಲ್ಯಮಾಪನ ಮಾಡುತ್ತದೆ, ಅದು ಸಾಮಾನ್ಯವಾಗಿ root ಅಥವಾ ಸೇವಾ ಖಾತೆ ಮತ್ತು ಆದ್ದರಿಂದ ಲಾಗಿನ್ ಆಗುವ ವ್ಯಕ್ತಿಯಲ್ಲ.

ಗುಂಪಿನ ಸದಸ್ಯತ್ವವು ಸಿಸ್ಟಂನ ಗುರುತು ಪರಿಹಾರದಿಂದ ಬರುತ್ತದೆ, ನೀವು ಗುರುತಿಸುವ ಹೆಸರಿನಿಂದ ಅಲ್ಲ. ಡೈರೆಕ್ಟರಿ ಬಳಕೆದಾರರಿಗೆ, ಅದೇ backend ಆ ಬಳಕೆದಾರರ ಗುಂಪು ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಏಕೆಂದರೆ ಪರಿಚಿತ ಹೆಸರಿನ ಸ್ಥಳೀಯ ಗುಂಪು ಅದೇ ಹೆಸರಿನ ಡೈರೆಕ್ಟರಿ ಗುಂಪಿಗಿಂತ ಬೇರೆ ವಸ್ತು.

ಕ್ರಮ ಮತ್ತು ಗುರುತಿನ ಬಲೆಗಳು

ಗುಂಪಿನ ನಿಯಮವನ್ನು ದೃಢೀಕರಣ ಸ್ಟಾಕ್ ನಂತರ ಮತ್ತು ಇನ್ನೂ ಅನ್ವಯವಾಗಬೇಕಾದ ಪ್ರತಿ ಪರಿಶೀಲನೆಯ ನಂತರ ಇರಿಸಿ, ಆದರೆ ನೀವು ಉಳಿಸಿಕೊಳ್ಳುವ ಖಾತೆ ಪರಿಶೀಲನೆಗಳ ಮೊದಲು ಅಥವಾ ಅವುಗಳ ಜೊತೆಗೆ. PAM ಮಾಡ್ಯೂಲ್ಗಳನ್ನು ಫೈಲ್ ಕ್ರಮದಲ್ಲಿ ಮೌಲ್ಯಮಾಪನ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಪ್ರತಿ ಸಾಲಿನ ನಿಯಂತ್ರಣ ಮೌಲ್ಯವು ವೈಫಲ್ಯ ಅಂತಿಮವೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ.

ದ್ವಿಗುಣ ಸ್ಟಾಕ್ಗಳ ಬಗ್ಗೆ ಎಚ್ಚರವಿರಲಿ. ಸಾಮಾನ್ಯ ಮಾದರಿ ಎಂದರೆ ಈಗಾಗಲೇ ಖಾತೆ ನಿಯಮವನ್ನು ಹೊಂದಿರುವ include, ನಂತರ ನಿಮ್ಮ ಸ್ವಂತ ಗುಂಪಿನ ನಿಯಮ, ಇದು ಒಂದನ್ನು ನಿರೀಕ್ಷಿಸಿದ ಸ್ಥಳದಲ್ಲಿ ಎರಡು ನಿರ್ಧಾರಗಳನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ. ನೀವು ಸಂಪಾದಿಸಿದ ಫೈಲ್ ಮಾತ್ರವಲ್ಲ, ಸೇರಿಸಿದ ಫೈಲನ್ನೂ ಓದಿ. ಪರಿಣಾಮಕಾರಿ ಕ್ರಮವನ್ನು ನೋಡುವ ತ್ವರಿತ ಮಾರ್ಗವೆಂದರೆ ಫೈಲ್ ಅನ್ನು ಮೇಲಿನಿಂದ ಕೆಳಕ್ಕೆ ಓದಿ ಪ್ರತಿ ನಿಯಂತ್ರಣ ಮೌಲ್ಯವನ್ನು ಗಮನಿಸುವುದು.

ಇತರ ಪ್ರವೇಶ ಅಗತ್ಯತೆಗಳನ್ನು ಅಕ್ಷತವಾಗಿ ಇರಿಸಿ. ಯಶಸ್ವಿ ಪಾಸ್ವರ್ಡ್ ಪ್ರಮಾಣಪತ್ರ ಪರಿಶೀಲನೆ, ಎರಡನೇ ಅಂಶ ಅಥವಾ ಸಂಪರ್ಕದ ನಂತರದ ಅಧಿಕಾರ ಎಂಬುದನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಈ ನೀತಿ ಅವುಗಳಲ್ಲಿ ಯಾವುದಕ್ಕೂ ಪರ್ಯಾಯವಲ್ಲ. ಇದು ಖಾತೆ VPN ಪ್ರವೇಶಕ್ಕೆ ಪರಿಗಣನೆಗೆ ಅರ್ಹವೇ ಎಂದು ಮಾತ್ರ ನಿರ್ಧರಿಸುತ್ತದೆ.

ಸದಸ್ಯರು, ಹೊರಗಿನವರು ಮತ್ತು ತಪ್ಪು ಪಾಸ್ವರ್ಡ್ಗಳ ಪರೀಕ್ಷೆ

ನೀತಿಯನ್ನು ಪೂರ್ಣ ಎಂದು ಪರಿಗಣಿಸುವ ಮೊದಲು ಮೂರು ಸಂದರ್ಭಗಳನ್ನು ಪರೀಕ್ಷಿಸಿ. ಸದಸ್ಯರು ಯಶಸ್ವಿಯಾಗಿ ಸಂಪರ್ಕಿಸುತ್ತಾರೆ. ಗುಂಪಿನ ಹೊರಗಿನ ಮಾನ್ಯ ಖಾತೆ ತನ್ನ ಪಾಸ್ವರ್ಡ್ ದೃಢೀಕರಿಸುತ್ತದೆ ಆದರೆ VPN ಪ್ರವೇಶ ನಿರಾಕರಿಸಲ್ಪಡುತ್ತದೆ. ಯಾವುದೇ ಖಾತೆಗೆ ತಪ್ಪು ಪಾಸ್ವರ್ಡ್ ದೃಢೀಕರಣ ಹಂತದಲ್ಲಿ ತಿರಸ್ಕೃತವಾಗುತ್ತದೆ, ಗುಂಪಿನ ನಿಯಮದಿಂದ ಅಲ್ಲ.

ಕ್ಲೈಂಟ್ಗೆ ಕಾಣುವ ದೋಷ ಮತ್ತು ಸರ್ವರ್ ಲಾಗ್ ಅನ್ನು ಒಟ್ಟಿಗೆ ನೋಡಿ, ಏಕೆಂದರೆ ಸಂಪರ್ಕಿಸುವ ವ್ಯಕ್ತಿಗೆ ಎರಡೂ ವೈಫಲ್ಯಗಳು ಒಂದೇ ರೀತಿ ಕಾಣಬಹುದು. ಬೆಂಬಲಕ್ಕೆ ವ್ಯತ್ಯಾಸ ಮುಖ್ಯ: ಸರಿಯಾದ ಪಾಸ್ವರ್ಡ್ ಇರುವ ಹೊರಗಿನವರಿಗೆ ಗುಂಪು ಬದಲಾವಣೆ ಬೇಕು, ತಪ್ಪು ಪಾಸ್ವರ್ಡ್ಗೆ ರುಜುವಾತು ಮರುಹೊಂದಿಕೆ ಬೇಕು.

PAM ಸಂಪಾದಿಸುವಾಗ ಎರಡನೇ ಅಧಿವೇಶನವನ್ನು ತೆರೆದಿಡಿ, ಮತ್ತು ಬದಲಾವಣೆಯ ನಂತರ ಸಾಮಾನ್ಯ SSH ಲಾಗಿನ್ ಅನ್ನೂ ಪರಿಶೀಲಿಸಿ. ಮೀಸಲಾದ ಸೇವೆಯ ಉದ್ದೇಶ ಸಿಸ್ಟಂ ಲಾಗಿನ್ ಪ್ರಭಾವಿತವಾಗದಿರಬೇಕು ಎಂಬುದು, ಮತ್ತು ಅದನ್ನು ತಿಳಿಯುವ ಏಕೈಕ ಮಾರ್ಗ ಅದನ್ನು ಪರೀಕ್ಷಿಸುವುದು.

ಏನಾದರೂ ಮುರಿದರೆ, ಹಿಂದಿನ ಸೇವಾ ಫೈಲ್ ಅನ್ನು ಪ್ರತಿಯಿಂದ ಮರುಸ್ಥಾಪಿಸಿ. ನೀವು ಬಯಸುವ ನಿಯಮವನ್ನು ಹೇಳುವುದು ಸುಲಭ: ಸದಸ್ಯತ್ವವು ಖಾತೆಯನ್ನು VPN ಪ್ರವೇಶಕ್ಕೆ ಅರ್ಹಗೊಳಿಸುತ್ತದೆ, ಮತ್ತು ಇತರ ಪ್ರತಿಯೊಂದು ಅಗತ್ಯ ಪರಿಶೀಲನೆಯೂ ಇನ್ನೂ ಅನ್ವಯವಾಗುತ್ತದೆ.