ಎರಡು ಲಾಗಿನ್ ಪರಿಶೀಲನೆಗಳು ಎರಡು ಅಂಶಗಳಲ್ಲ: VPN ಮತ್ತು RADIUS

VPN ಗೇಟ್ವೇಗೆ ಎರಡನೇ ದೃಢೀಕರಣ ಬ್ಯಾಕೆಂಡ್ ಸೇರಿಸುವುದು ಎರಡನೇ ಅಂಶ ಸೇರಿಸಿದಂತೆ ಭಾಸವಾಗುತ್ತದೆ. ಸಾಮಾನ್ಯವಾಗಿ ಅದು ಎರಡನೇ ಪರಿಶೀಲನೆಯನ್ನು ಸೇರಿಸುತ್ತದೆ, ಅದು ವಿಭಿನ್ನ ವೈಫಲ್ಯ ವಿಧಾನಗಳಿರುವ ವಿಭಿನ್ನ ವಸ್ತು. ಎರಡೂ ಯಶಸ್ವಿಯಾಗಬೇಕೇ, ಪ್ರತಿಯೊಂದೂ ಏನನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ ಮತ್ತು ಒಂದು ಲಭ್ಯವಿಲ್ಲದಿದ್ದಾಗ ಏನಾಗುತ್ತದೆ ಎಂಬುದು ಮೂರು ಪ್ರತ್ಯೇಕ ನಿರ್ಧಾರಗಳು. ತಪ್ಪು ಮಾಡಿದರೆ ಗೇಟ್ವೇ ಪ್ರದರ್ಶನದಲ್ಲಿ ಕಟ್ಟುನಿಟ್ಟಾಗಿರುತ್ತದೆ ಮತ್ತು ಅಡಚಣೆಯ ಸಮಯದಲ್ಲಿ ದುರ್ಬಲವಾಗಿರುತ್ತದೆ.

ಎರಡನೇ ಬ್ಯಾಕೆಂಡ್ ನಿಜವಾಗಿ ಏನನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ

ಸ್ಥಳೀಯ ಖಾತೆ ಹುಡುಕಾಟವು ಹೆಸರು ಡೇಟಾಬೇಸ್ನಲ್ಲಿದೆ ಮತ್ತು ಪಾಸ್ವರ್ಡ್ ಅದಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗಿದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ. RADIUS ವಿನಿಮಯವು RADIUS ಸರ್ವರ್ ಸ್ವೀಕರಿಸಿದ ಗುಣಲಕ್ಷಣಗಳಿಗೆ Access-Accept ಹಿಂತಿರುಗಿಸಿದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ. ಎರಡೂ ಹೇಳಿಕೆಗಳು ಅಂಶದ ಪ್ರಕಾರವನ್ನು ಉಲ್ಲೇಖಿಸುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಎರಡೂ ಜ್ಞಾನವನ್ನು ಪರಿಶೀಲಿಸುತ್ತವೆ. ಮತ್ತು NIST ನ ಡಿಜಿಟಲ್ ಗುರುತಿನ ಮಾರ್ಗದರ್ಶಿ ವಿಭಿನ್ನ ಅಂಶ ಪ್ರಕಾರಗಳು ಮತ್ತು ಅವುಗಳ ದೃಢೀಕರಣಕಾರರನ್ನು ಎಣಿಸುತ್ತದೆ, ಸರ್ವರ್ಗಳು ಅಥವಾ ಸೂಚನೆಗಳನ್ನಲ್ಲ.

ಎರಡೂ ವ್ಯವಸ್ಥೆಗಳು ಭಾಗವಹಿಸುವ ಕಾನೂನುಬದ್ಧ ವಿನ್ಯಾಸವಿದೆ. ಕೇಂದ್ರ ಸೇವೆ ವ್ಯಕ್ತಿಯನ್ನು ದೃಢೀಕರಿಸಬಹುದು, ಆದರೆ ಗೇಟ್ವೇ ಆ ಖಾತೆಗೆ ಈ ಸುರಂಗದ ಹಕ್ಕಿದೆಯೇ ಎಂದು ಸ್ವತಂತ್ರವಾಗಿ ಪರಿಶೀಲಿಸುತ್ತದೆ. ಅದು ದೃಢೀಕರಣದ ಪಕ್ಕದಲ್ಲಿರುವ ಅಧಿಕಾರ, ಮತ್ತು ಅದನ್ನು ಎರಡು ಅಂಶ ಎಂದು ಕರೆಯುವುದು ನೀತಿ ಪರಿಶೀಲನೆಯನ್ನು ಸ್ವಾಧೀನದ ಸಾಕ್ಷ್ಯದೊಂದಿಗೆ ಬೆರೆಸುತ್ತದೆ.

RADIUS ನಿಜವಾದ ಎರಡನೇ ಅಂಶವನ್ನು ಹೊತ್ತೊಯ್ಯಬಹುದು, ಅದು ಒಂದನ್ನು ಪರಿಶೀಲಿಸುವ ವಸ್ತುವಿನ ಮುಂದೆ ನಿಂತಾಗ, ಉದಾಹರಣೆಗೆ ಪುಶ್ ಅನುಮೋದನೆ ಅಥವಾ ಹಾರ್ಡ್ವೇರ್ ಟೋಕನ್. ಲಕೋಟೆ ಬಳಕೆದಾರರು ಯಾವ ದೃಢೀಕರಣಕಾರರನ್ನು ತೋರಿಸಿದರು ಎಂದು ಹೇಳುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಗೇಟ್ವೇ ಲೇಬಲ್ ಅಲ್ಲ, ಬ್ಯಾಕೆಂಡ್ ನೀತಿಯನ್ನು ಓದಿ.

AND, OR ಮತ್ತು ಫಾಲ್ಬ್ಯಾಕ್ ವಿಭಿನ್ನ ಉತ್ಪನ್ನಗಳು

ಅನುಷ್ಠಾನಗಳನ್ನು ಹೋಲಿಸುವ ಮೊದಲು ನಿಮ್ಮ ಅಗತ್ಯದಲ್ಲಿ ಎರಡೂ ಎಂದರೇನು ಎಂದು ನಿರ್ಧರಿಸಿ. AND ನೀತಿ ಪ್ರತಿ ಹೆಸರಿಸಿದ ಪರಿಶೀಲನೆಯೂ ಉತ್ತೀರ್ಣವಾಗಬೇಕು ಎಂದು ಒತ್ತಾಯಿಸುತ್ತದೆ, OR ನೀತಿ ಯಶಸ್ವಿಯಾದದ್ದನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ, ಮತ್ತು ಫಾಲ್ಬ್ಯಾಕ್ ಎರಡನೆಯದನ್ನು ಘೋಷಿತ ವೈಫಲ್ಯ ಪರಿಸ್ಥಿತಿಗಳಲ್ಲಿ ಮಾತ್ರ ಪ್ರಯತ್ನಿಸುತ್ತದೆ. ಈ ಮೂರೂ ಅಡಚಣೆಯ ಸಮಯದಲ್ಲಿ ವಿರುದ್ಧವಾಗಿ ವರ್ತಿಸುತ್ತವೆ, ಮತ್ತು ಸಾಮಾನ್ಯವಾಗಿ ಅವುಗಳಲ್ಲಿ ಒಂದೇ ಪರಿಶೀಲನೆಯ ಉದ್ದೇಶವಾಗಿರುತ್ತದೆ.

ಸಂರಚನಾ ಪರದೆಗೆ ಎರಡು ಬ್ಯಾಕೆಂಡ್ ನಮೂದುಗಳನ್ನು ಸೇರಿಸುವುದು ಉತ್ಪನ್ನ ಯಾವ ನೀತಿಯನ್ನು ಜಾರಿಗೊಳಿಸುತ್ತದೆ ಎಂದು ಬಹಿರಂಗಪಡಿಸುವುದಿಲ್ಲ. ಕೆಲವು ಗೇಟ್ವೇಗಳು ಪ್ಲಗಿನ್ಗಳನ್ನು ಕ್ರಮದಲ್ಲಿ ಸರಪಳಿಗೊಳಿಸಿ ಮೊದಲ ನಿರಾಕರಣೆಯಲ್ಲಿ ನಿಲ್ಲುತ್ತವೆ, ಅದು ಪ್ರತಿ ಪ್ಲಗಿನ್ ಕಡ್ಡಾಯವಾದಾಗ ಮಾತ್ರ AND. ಇತರವು ಸ್ಥಳೀಯ ಖಾತೆಯನ್ನು ಅತಿಕ್ರಮಣವೆಂದು ಪರಿಗಣಿಸುತ್ತವೆ, ಅದು ಕೇಂದ್ರ ಅಡಚಣೆಯನ್ನು ಪರ್ಯಾಯ ಮಾರ್ಗವಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ. ವಿಶ್ವಾಸಾರ್ಹ ಉತ್ತರವೆಂದರೆ ಪ್ರತಿ ಮಾರ್ಗಕ್ಕೂ ದಾಖಲಿತ ಋಣಾತ್ಮಕ ಪರೀಕ್ಷೆ, ನೀವು ನಿಯೋಜಿಸುವ build ವಿರುದ್ಧ ನಡೆಸಲಾಗುತ್ತದೆ.

ಫಾಲ್ಬ್ಯಾಕ್ ಹೆಚ್ಚು ಸಂಶಯಕ್ಕೆ ಅರ್ಹವಾಗಿದೆ, ಏಕೆಂದರೆ ಏನಾದರೂ ಮುರಿದಾಗ ಕೆಲಸ ಮುಂದುವರಿಸಲು ಅದು ಅಸ್ತಿತ್ವದಲ್ಲಿದೆ. RADIUS ತಲುಪಲಾಗದಿದ್ದಾಗಲೆಲ್ಲ ಸ್ಥಳೀಯ ಪಾಸ್ವರ್ಡ್ ಸ್ವೀಕರಿಸುವ ಫಾಲ್ಬ್ಯಾಕ್ ಕೇಂದ್ರ ನೀತಿಯನ್ನು ಎರಡನೇ, ದುರ್ಬಲ ಬಾಗಿಲಾಗಿ ಪರಿವರ್ತಿಸಿದೆ.

OpenVPN ನ ದ್ವಿಗುಣ ಪರಿಶೀಲನೆ ಒಂದು ನಿರ್ದಿಷ್ಟ ಪ್ರಕರಣ

ಸಮುದಾಯ OpenVPN 2.6 ಎರಡೂ ಸಕ್ರಿಯವಾದಾಗ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಸಂರಚಿತ auth-user-pass-verify ಸ್ಕ್ರಿಪ್ಟ್ ಎರಡನ್ನೂ ಬಯಸುತ್ತದೆ. ಅದು ಪ್ರಮಾಣಪತ್ರ ಪರಿಶೀಲನೆ ಮತ್ತು ರುಜುವಾತು ಸ್ಕ್ರಿಪ್ಟ್ ನಡುವಿನ ದಾಖಲಿತ AND, ಮತ್ತು ಅದು ನಿಜವಾಗಿಯೂ ಎರಡು ಪರಿಶೀಲನೆಗಳು. ಅದು ಇನ್ನೂ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಎರಡು ಅಂಶ ಪ್ರಕಾರಗಳಲ್ಲ, ಏಕೆಂದರೆ ಸ್ಕ್ರಿಪ್ಟ್ ಪಾಸ್ವರ್ಡ್ ಮಾತ್ರ ಪರಿಶೀಲಿಸಬಹುದು.

ಸಂಯೋಜನೆ ಸಂಬಂಧದ ಪ್ರಶ್ನೆಯನ್ನೂ ತೆರೆದಿಡುತ್ತದೆ. ಪ್ರಮಾಣಪತ್ರ ಸಾಮಾನ್ಯವಾಗಿ ಸಾಧನವನ್ನು ಗುರುತಿಸುತ್ತದೆ, ಆದರೆ ರುಜುವಾತುಗಳು ವ್ಯಕ್ತಿಯನ್ನು ಗುರುತಿಸುತ್ತವೆ, ಮತ್ತು ಡೀಫಾಲ್ಟ್ ಹರಿವಿನಲ್ಲಿ ಎರಡೂ ಒಂದೇ ಪ್ರಧಾನ ವ್ಯಕ್ತಿಯನ್ನು ಸೂಚಿಸಬೇಕೆಂದು ಏನೂ ಒತ್ತಾಯಿಸುವುದಿಲ್ಲ. ಯಾವ ಜೋಡಿಗಳಿಗೆ ಅನುಮತಿ ಎಂದು ನಿರ್ಧರಿಸಿ, ನಂತರ ಆ ನಕ್ಷೆಯನ್ನು ಪರಿಶೀಲನಾ ಸ್ಕ್ರಿಪ್ಟ್ ಒಳಗೆ ಅಥವಾ ನಂತರದ ಅಧಿಕಾರ ಹಂತದಲ್ಲಿ ಜಾರಿಗೊಳಿಸಿ.

ಪ್ರಮಾಣಪತ್ರ-ಮಾತ್ರ ಮೋಡ್ ಒಂದೇ ಪರಿಶೀಲನೆ, PIN ನಿಂದ ಸಂರಕ್ಷಿಸಲ್ಪಟ್ಟಿರಬಹುದು ಅಥವಾ ಇಲ್ಲದಿರಬಹುದು ಎಂಬ ಕೀಲಿಯಿಂದ ಬೆಂಬಲಿತವಾಗಿದೆ. PIN ಅದೇ ರುಜುವಾತನ್ನು ಜ್ಞಾನ ಮತ್ತು ಸ್ವಾಧೀನವಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ, ಕೀಲಿಯನ್ನು ಅದಿಲ್ಲದೆ ಬಳಸಲಾಗದಿದ್ದರೆ ಮಾತ್ರ. ಆ ಕೀಲಿಯನ್ನು ಡಿಸ್ಕ್ನಲ್ಲಿ ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡದೆ ಬಿಟ್ಟರೆ ಎರಡನೇ ಭಾಗ ಫೈಲ್ ಅನುಮತಿಗೆ ಇಳಿಯುತ್ತದೆ.

ಸಾಧನ ತಯಾರಕರು ತಮ್ಮದೇ ಪ್ಲಂಬಿಂಗ್ ನಿರ್ಮಿಸುತ್ತಾರೆ, ಹೆಚ್ಚಾಗಿ ವೆಬ್ ಕನ್ಸೋಲ್ ಹಿಂದೆ PAM ಮಾಡ್ಯೂಲ್ ಅಥವಾ RADIUS ಪ್ಲಗಿನ್. ಸಮುದಾಯದ ವರ್ತನೆ ದ್ವಿಗುಣ ಪರಿಶೀಲನೆಗಳು ಹೇಗೆ ಕಾಣುತ್ತವೆ ಎಂಬ ಉಲ್ಲೇಖ, ಸಾಧನ ಅವುಗಳನ್ನು ಹೇಗೆ ಸಂಯೋಜಿಸುತ್ತದೆ ಎಂಬ ವಿವರಣೆಯಲ್ಲ.

ನಿಮ್ಮ ಗೇಟ್ವೇನಲ್ಲಿ ಸಂಯೋಜನೆಯನ್ನು ಪರಿಶೀಲಿಸಿ

ಕನ್ಸೋಲ್ ಸಾರಾಂಶವನ್ನು ನಂಬುವ ಮೊದಲು ಸಂರಚನೆಯನ್ನು ಓದಿ. ನೀತಿಯನ್ನು ನಿರ್ಧರಿಸುವ ಸಾಲುಗಳು ಪ್ರಮಾಣಪತ್ರ ಮೋಡ್, ರುಜುವಾತು ಸ್ಕ್ರಿಪ್ಟ್ ಮತ್ತು ಪ್ಲಗಿನ್ ಕ್ರಮ.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep ಪ್ರಮಾಣಪತ್ರ ಅಗತ್ಯವೇ ಮತ್ತು ಅದರ ನಂತರ ಯಾವ ಸ್ಕ್ರಿಪ್ಟ್ ಚಲಿಸುತ್ತದೆ ಎಂದು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ಕ್ರಮವು ಹೆಸರುಗಳು ಸೂಚಿಸುವುದಕ್ಕಿಂತ ಹೆಚ್ಚು ಮುಖ್ಯ. ಪ್ರಮಾಣಪತ್ರದ ಡಂಪ್ ಗೇಟ್ವೇ ನೋಡುವ ಗುರುತನ್ನು ನೀಡುತ್ತದೆ, ಸಂಬಂಧ ನಕ್ಷೆಗೆ ಬೇಕಾದ CN ಮತ್ತು ಸರಣಿ ಸಂಖ್ಯೆ ಸೇರಿದಂತೆ. RADIUS ಪರೀಕ್ಷೆ ಋಣಾತ್ಮಕ ಪ್ರಕರಣ: ತಪ್ಪು ಪಾಸ್ವರ್ಡ್ Access-Reject ಮತ್ತು ಸರಿಯಾದದ್ದು Access-Accept ನೀಡಬೇಕು. ನಿರಾಕರಿಸಿದ ರುಜುವಾತು ಇನ್ನೂ ಅಧಿವೇಶನ ನೀಡಿದರೆ, ಸ್ಕ್ರಿಪ್ಟ್ ದೃಢೀಕರಣ ಮಾರ್ಗದಲ್ಲೇ ಇಲ್ಲ.

ನಂತರ ಪ್ರಯೋಗಾಲಯದ ನಿದರ್ಶನದಲ್ಲಿ ಅಡಚಣೆ ಪ್ರಕರಣವನ್ನು ಚಲಾಯಿಸಿ: ಕಡ್ಡಾಯ ಬ್ಯಾಕೆಂಡ್ ನಿಲ್ಲಿಸಿ ಮತ್ತು ಮಾನ್ಯ ರುಜುವಾತುಗಳೊಂದಿಗೆ ಸಂಪರ್ಕಿಸಿ. ನಿರೀಕ್ಷಿತ ಫಲಿತಾಂಶ ನಿರಾಕರಣೆ, ಮತ್ತು ಬೇರೆ ಯಾವುದೇ ವಿಷಯ ಯಾರೂ ದಾಖಲಿಸದ ಫಾಲ್ಬ್ಯಾಕ್ ನೀತಿ.

ಅಗತ್ಯವನ್ನು ಋಣಾತ್ಮಕ ಪ್ರಕರಣಗಳಾಗಿ ಬರೆಯಿರಿ

ಬಳಸಬಹುದಾದ ಅಗತ್ಯವು ಸಾಕ್ಷ್ಯಗಳನ್ನು, ಅವುಗಳನ್ನು ಪ್ರಸ್ತುತಪಡಿಸಲು ಅನುಮತಿಸಲಾದ ಖಾತೆಗಳನ್ನು ಮತ್ತು ಪರಿಶೀಲಕರು ಇಲ್ಲದಿದ್ದಾಗ ಫಲಿತಾಂಶವನ್ನು ಹೆಸರಿಸುತ್ತದೆ. ಅದು ಸಾಧನ ಗುರುತು ಮತ್ತು ವ್ಯಕ್ತಿ ಗುರುತಿನ ನಡುವಿನ ಅನುಮತಿಸಿದ ಜೋಡಣೆಯನ್ನೂ ಹೇಳುತ್ತದೆ. ಅದು ಖರೀದಿ ಆದೇಶದ ಉತ್ಪನ್ನ ಹೆಸರುಗಳಿಗಿಂತ ನಿಖರವಾಗಿದೆ, ಮತ್ತು ಅದನ್ನು ಪರೀಕ್ಷಿಸಬಹುದು.

ಸ್ವೀಕೃತಿಯು ನಾಲ್ಕು ನಿರಾಕರಣೆಗಳನ್ನು ಒಳಗೊಂಡಿರಬೇಕು: ಅನರ್ಹ ಸ್ಥಳೀಯ ಖಾತೆ, ಕಾಣೆಯಾದ ಕಡ್ಡಾಯ ಸಾಕ್ಷ್ಯ, ಅಮಾನ್ಯ ಎರಡನೇ ಅಂಶ ಮತ್ತು ತಲುಪಲಾಗದ ಕಡ್ಡಾಯ ಬ್ಯಾಕೆಂಡ್. ಪ್ರತಿ ನಿರಾಕರಣೆಗೂ ಅದನ್ನು ಇತರರಿಂದ ಪ್ರತ್ಯೇಕಿಸುವ ಲಾಗ್ ಸಾಲು ಬೇಕು, ಇಲ್ಲದಿದ್ದರೆ ಮುಂದಿನ ಘಟನೆ ಊಹೆಯಿಂದ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ. ಯಾವ ಘಟಕ ಯಾವ ನಿರ್ಧಾರ ತೆಗೆದುಕೊಂಡಿತು ಎಂದು ದಾಖಲಿಸಿ, ಏಕೆಂದರೆ ಗೇಟ್ವೇ, RADIUS ಸರ್ವರ್ ಮತ್ತು ಡೈರೆಕ್ಟರಿ ಪರಸ್ಪರ ದೂಷಿಸುತ್ತವೆ.

ಯಾವುದೇ ಪ್ಲಗಿನ್ ಅಥವಾ ಫರ್ಮ್ವೇರ್ ಬದಲಾವಣೆಯ ನಂತರ ನಾಲ್ಕು ನಿರಾಕರಣೆಗಳನ್ನು ಮತ್ತೆ ಚಲಾಯಿಸಿ. ಅವು ಅಗ್ಗ, ಮತ್ತು ಅವು ರಕ್ಷಿಸುವ ನೀತಿಯೇ ಆಕ್ರಮಣಕಾರರು ಮೊದಲು ಪರಿಶೀಲಿಸುವ ಭಾಗ.