Эмне үчүн .ovpn файлын түзөтүү сервердеги MFA'ны күйгүзө албайт

Сиз профилге auth-user-pass кошосуз, кайра туташасыз, жана кардар колдонуучу аты менен сырсөздү сурайт. MFA күйгүзүлгөндөй көрүнөт. Анан туура эмес эсептин кодун же он мүнөт мурун мөөнөтү бүткөн кодду киргизесиз, бирок туннель баары бир көтөрүлөт. Бул — симптом: кардар өзгөрдү, сервер өзгөргөн жок. Бир жолку сырсөз сервердеги текшерүүчү аны талап кылган инсандык үчүн жарактуубу же жокпу деп чечкенде гана фактор болот.

Суроо кардар сураганын гана далилдейт, андан ашык эмес

.ovpn файлы — кардар тараптагы документ. Ал кардарга ыйгарым укуктарды суроону, аларды кэшке сактоону же муну токтотууну айта алат. Ал колдонуучуну каттай албайт, PAM модулун орното албайт же серверди азыр текшербеген экинчи факторду талап кылууга мажбурлай албайт.

Телефонго аутентификация колдонмосун орнотуу да бул байланышты түзбөйт. Google Authenticator PAM долбоору — OTP текшерүү компоненти, ал OpenVPN артында тура алат; бул Google эсебине кирүүнү импорттолгон профилге жабыштыруунун жолу эмес.

Каттоо — профил жасай албаган бөлүк

TOTP аутентификация колдонмосу менен анын текшерүүчүсүнүн ортосунда бөлүшүлгөн каттоо материалын талап кылат. Телефондогу алты цифра — чыгарылыш; алардын артындагы урук — сыр, жана ал бир инсандыкка таандык.

Ошондуктан операторго туура урукту туура VPN инсандыгына байлоочу каттоо процесси, ошондой эле жоголгон телефон үчүн текшерилген алмаштыруу жолу керек. Колдонуучуларга өз атындагы файлды жүктөөгө уруксат берүү каттоону эсепти басып алуу мүмкүнчүлүгүнө айландырат, ал эми жүктөөнү шифрлөө муну өзгөртпөйт.

PAM негизиндеги дизайн ар бир VPN колдонуучусу үчүн өзүнчө Unix эсебин түзүүгө милдеттүү эмес. Модулдун документтери альтернативалуу сыр жолдорун жана файлдарга жетүү үчүн атайын эсепти колдойт, бул файлдык системанын инсандыгы, текшерилип жаткан кирүү инсандыгы эмес.

Кеңири тараган ката — бир колдонуучунун мисалынан көчүрүлгөн, бир колдонуучу аты менен бүткөн туруктуу сыр жолу. Бул бир инсандыктын көрсөтмөсү, колдонуучу боюнча издөө эмес, жана аны ар бир суроого колдонуу эч кимге көз карандысыз катталган аутентификация колдонмосун бербейт. Инсандык картасын жазып коюңуз, урук файлдарын коргоңуз жана сырсөз, сертификат жана эсеп текшерүүлөрүн бир аутентификация стектинде кармаңыз.

PAM стегин окуп, чындап эмне талап кылынарын көрүңүз

account required pam_permit.so сыяктуу сап эсептин жарактуулугун ишке ашырбайт жана фактор кошпойт. Ал PAM эсептерин башкаруу баскычына уруксат берет, бул баскыч тууралуу билдирүү, сиздин колдонуучуларыңыз тууралуу эмес.

Ошол эле нерсе жумшак каттоо параметрлерине да тиешелүү. Катталган сыры жок колдонуучуларды кабыл алуу атайын киргизүү чечими болушу мүмкүн, бирок бул MFA милдеттүү экендигинин далили эмес жана аны бүтүү күнү менен убактылуу өзгөчөлүк катары жазып коюу керек.

Кардардын өз ара аракетин сервердин дизайнына шайкеш келтириңиз

auth-user-pass

Бул директива колдонуучу аты менен сырсөздү киргизүүнү сурайт. Ал PAM'ды конфигурациялабайт, каттоо жазуусун түзбөйт жана серверге сырсөз талаасында TOTP мааниси бар экенин айтпайт. Сервер интеграциясы менен кардар жайгаштыруу чындап колдогон өз ара аракет тууралуу макулдашууга тийиш: чакырык, документтелген бириктирилген ыйгарым укук форматы же продуктка тиешелүү агым.

Кардар бир талааны көрсөттү деп сырсөзгө код кошпоңуз. Бул сервердин плагини так ошол форматты күткөн жерде гана иштейт, ал эми калган бардык жерде баш аламан түрдө ийгиликсиз болот.

Уруктарды жана QR материалын жалпы профилдерден жана күнүмдүк диагностикалык журналдардан тышкары кармаңыз. Аутентификацияланган кирүү каналы аркылуу берилген код контролдонгон каттоо учурунда берилген урук менен бирдей объект эмес, жана аларды колдоо билетинде аралаштыруу сырлардын чыгып кетүү жолу.

Кайра туташуулар, токендер жана маселени чечкен тест

Биринчи ийгиликтүү кирүүдөн кийин эмне болорун пландаңыз. Мурун кабыл алынган код кийинки аутентификацияда мөөнөтү бүткөн же кайталоо катары четке кагылган болушу мүмкүн. auth-nocache ыйгарым укуктарды сактоону көзөмөлдөйт жана MFA орнотпойт, ал эми reneg-sec 0 форум темаларында канчалык көп кездешсе да, TOTP колдоосунун аныктамасы эмес.

Айрым жайгаштыруулар баштапкы текшерүүдөн кийин аутентификация токендерин берет, ошондуктан кайра туташуулар кайра сурабайт. Бул өзүнүн жарактуулук терезеси жана жокко чыгаруу тарыхы бар дизайн чечими, сиз мураска ала турган демейки маани эмес.

Анан кирүү саясатын адамдар чындап колдонгон кардар менен сынап көрүңүз. Туура сырсөзү, сертификаты жана учурдагы коду бар катталган колдонуучу туташууга тийиш. Туура эмес код, каттоосуз колдонуучу жана тыюу салынган эсеп — ар бири ийгиликсиз болушу керек, ал эми себеби сервердин журналында көрүнүшү керек. Ошол баш тартууларды көрмөйүнчө, сизде суроо бар, саясат эмес.