Аккаунтту кулпулоо же дарекке тыюу салуу: OpenVPN чындыгында кайда эсептейт

Даректи блоктоо жана аккаунтту кулпулоо эки башка механизм жана алар карама-каршы багытта ийгиликсиз болот. Дарекке тыюу салуу бир булакты токтотот, ал эми максаттуу аккаунт башка жерден жеткиликтүү бойдон калат; аккаунтту кулпулоо бул инсандыкты бардык жерде токтотот, атүгүл колдонуучунун өз ноутбугунда да.

Аутентификацияны PAMга өткөргөн VPN үчүн эсептегич — PAM стеги жеткен жер, угуучу жазган жазуу эмес.

Эки эсептегич, эки башка курман

Ылдамдык чектегич булакты карап, акыркы убакта андан канча аракет келгенин сурайт. Кулпулоо инсандыкты карап, аккаунт канча ийгиликсиздик топтогонун сурайт. Биринчиси жеткиликтүүлүктү, экинчиси кирүү маалыматтарын коргойт; бири экинчисин алмаштырбайт.

Ошондуктан беш ийгиликсиздиктен кийин IPни блоктойбуз деген сүйлөм кирүү маалыматтарын толтуруу тууралуу отчётко жооп эмес. Чабуулчу булактарды алмаштырат, ар бири аз аракет алат, аккаунт эч качан эсептелбейт. Тескерисинче, булакты көзөмөлсүз кулпулоо чабуулчуга атайылап ийгиликсиз болуп, аккаунтту чексиз кулпуда кармоого мүмкүндүк берет.

Эки көзөмөлдүн калыбына келтирүү тарыхы да башка. Дарекке тыюу салуу эч ким ойлонбой турган таймер менен бүтөт; аккаунтту кулпулоо администраторду, документтелген күтүү мөөнөтүн же өзүн-өзү калыбына келтирүүнү талап кылышы мүмкүн.

Эсепти мурунтан кармаган кампаны табыңыз

Бир нерсе кошордон мурун ийгиликсиздик кампасы бар-жогун аныктаңыз. Жергиликтүү Linux аккаунту, каталог кызматы жана тышкы инсандык провайдери ар бири өз эсебин жүргүзөт, ал эми алардын алдына коюлган PAM модулу биринчисин кеңейтүүнүн ордуна экинчисин түзөт.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

VPN чындыгында атаган кызмат файлын окуп, анын кошуу саптарын ээрчиңиз. Көп дистрибутивдерде VPN кызматы жалпы файлды кошот, башкача айтканда сиз жөнгө салып жаткан эсеп SSH жана жергиликтүү кирүүлөргө да тиешелүү.

Эгер каталог мурунтан кулпулоону колдонсо, пайдалуу суроо — PAM сүйлөшүүсү бул чечимге кантип жетет жана VPN аны кантип билдирет. Үстүнө кошулган жергиликтүү эсеп каталогдун эсептегичине айланбайт, эки саясат аккаунт качан ачылаары боюнча макул болбой калышы мүмкүн.

pam_faillock бир эмес, үч чакыруу ордуна ээ

Модуль бир көчүрүлгөн сап көбүнчө бүдөмүктөгөн үч операцияны бөлөт: аккаунт мурунтан кулпуланганын текшерүү, ийгиликсиздикти жазуу жана ийгиликтен кийин тарыхты тазалоо.

Эски эсеп модулунан өтүү көбүнчө ушунда ката кетирет. Иштеп жаткан pam_tally2 мисалынан сапты pam_faillock стегине көчүрүү — кайра атоо эмес; документтелген жөндөө башка, туура эмес жердеги чакыруу ийгиликсиздиктерди эч качан текшербей жазып коюшу мүмкүн.

faillock --user alice
faillock --user alice --reset

Текшерүү куралы эсептегичтин чыныгы экендигин көрүүнүн эң тез жолу: ал аккаунттун жазылган ийгиликсиздиктерин көрсөтөт жана аларды тазалай алат. Эгер көзөмөлдөнгөн ийгиликсиздик бул чыгымы өзгөртпөсө, чакыруу орду туура эмес.

Атайын кызмат аты обочолонтуу эмес

VPNге өзүнүн PAM кызмат файлын берүү көздөлгөн саясатты көрүнүктүү кылат, бирок таасирди чектебейт. Жалпы файлды ар кандай кошуу ошол файл кылганды алып келет, анын ичинде бүтүндөй системага тиешелүү эсептер.

Кулпулоо VPN кирүүсүн гана камтыйбы же ошол эле аккаунтту аутентификациялаган ар бир кызматты камтыйбы — анык чечиңиз. Эки жооп тең корголот; ката — бирөөнү тандадым деп ишенүү, ал эми стек экинчисин ишке ашырат.

Андан кийин чыгымды эске алыңыз. Кулпулоону чабуулчу пайда кылышы мүмкүн, ал эми жапа чеккен колдонуучу — аккаунттун ээси. Босого, күтүү мөөнөтү жана административдик калыбына келтирүү жолу саясаттын бөлүгү, ал эми калыбына келтирүү окуя убагында VPNди кайра конфигурациялоого көз каранды болбошу керек.

Ырааттуулукту кабыл алыңыз, бир баш тартууну эмес

Бекитилген план боюнча дайындалган инсандыктар менен сынаңыз жана бир окуя эмес, чынжырды сынаңыз: жарактуу аккаунт аутентификацияланат, атайылап туура эмес сырсөз эсептегичти жылдырат, жөндөлгөн кулпулоо күчүнө кирет жана документтелген калыбына келтирүү кирүүнү кайтарат.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Ийгилик жүрүм-турумун ийгиликсиздиктикинен кем эмес кылдат караңыз. Эгер ийгиликтүү кирүү тарыхты тазалабаса, аккаунт жөнөкөй каталардын жай топтолушунан кийин кулпуланат. Эгер ал бардык кызматтан баарын тазаласа, эсептегич саясат айткандан алсыз.

Акырында жеңишти жарыялоодон мурун көзөмөлсүз кардарларды токтотуңуз. Сакталган кирүү маалыматтары фондо кайра аракет кылып, калыбына келтирүүдөн бир нече мүнөттөн кийин ийгиликсиздиктерди кайра жаратат жана аккаунтту кайра кулпулайт. Булакка негизделген ылдамдык чектөөсү кошумча көзөмөл катары калышы мүмкүн, бирок ал аккаунт саясаты эмес.