OpenVPN кирүүлөрүн PAM саясаты менен бир топко чектөө

Ар бир эсептин кадимкидей кирүү мүмкүнчүлүгүн сактаңыз, бирок VPNди бир гана топ колдонсун. PAM бул айырманы экинчи сырсөз кампасыз билдире алат, ал эми OpenVPN плагинин сиз көздөгөн текшерүүлөрдү гана камтыган кызматка багыттоого болот. Айла — ошол кызматты системалык стекти кокусунан мураска албай куруу.

Бул жүрүш плагиндин кызмат атынан башталат, саясат түзөт, анан маанилүү үч жыйынтыкты текшерет: мүчө, жарактуу сырсөзү бар сырткы адам жана начар ыйгарым укук.

Эмне үчүн өзүнчө PAM кызматы

auth-pam плагини аргумент катары кызмат атын алат. Ошол ат /etc/pam.d астындагы файлды тандайт, жана ошол файлдагы стек VPN кирүүсүндө иштейт. Системалык кирүү колдонгон эле атты берсеңиз, ошол стектеги ар бир чечимди, кийин байланышсыз себептер менен кошулгандарын да мураска аласыз.

Анын ордуна өзүнчө кызмат түзүңүз. Көздөлгөн backendге каршы мурунтан аутентификация кылган иштеп турган стектен баштаңыз, мисалы, жергиликтүү сырсөз файлы, SSSD же каталог кызматы, анан жарактуулук эрежесин кошуңуз. Бош файлга эки сапты көчүрүү кеңири тараган ката: сырсөздүн мөөнөтүнүн бүтүшү, эсептин кулпуланышы жана башка текшерүүлөр сиз көчүрбөгөн стекте болушу мүмкүн.

Кызматты бөлүү зыяндын көлөмүн да чектейт. Жалпы стектеги VPN үчүн гана эреже баарына SSH же консолдук кирүүнү тыйып, кирүү өзгөрүүсүн тыныгууга айландырышы мүмкүн.

Топ эрежесин жазуу

Жарактуулук текшерүүсү ыйгарым укук текшерилгенден кийинки эсеп фазасына таандык. account required pam_succeed_if.so user ingroup vpnusers сыяктуу эреже иштетүүнү аутентификацияланган колдонуучу ошол топтун мүчөсү болгондо гана улантууга уруксат берет.

Ошол сап — фрагмент, толук кызмат эмес. Аны ар бир кабыл алынган жол жеткен жерге киргизиңиз жана айланасындагы башкаруу желекчелерин текшериңиз. Стектеги эртерек sufficient же секирүү башкаруусу сиздин эрежеңиз иштегенге чейин иштетүүнү бүтүрүшү мүмкүн, бул чектөөнү сунушка айландырат.

use_uid параметрин адатка жараша кошпоңуз. Ансыз модуль аутентификацияланып жаткан колдонуучуну баалайт; аны менен модуль OpenVPN процесси иштеп жаткан эсепти баалайт, ал адатта root же кызматтык эсеп, ошондуктан кирип жаткан адам эмес.

Топ мүчөлүгү системанын инсандык чечиминен келет, сиз тааныган аттан эмес. Каталог колдонуучулары үчүн ошол эле backend ошол колдонуучунун топтук суроолоруна жооп берерин ырастаңыз, анткени тааныш аттуу жергиликтүү топ ошол эле аттагы каталог тобунан башка объект.

Тартип жана инсандык тузактары

Топ эрежесин аутентификация стектен кийин жана дагы күчүндө калышы керек болгон ар бир текшерүүдөн кийин, бирок өзүңүз сактаган эсеп текшерүүлөрүнүн алдында же жанында жайгаштырыңыз. PAM модулдарды файл тартиби боюнча баалайт, ал эми ар бир саптагы башкаруу мааниси ийгиликсиздиктин акыркы экенин аныктайт.

Кошумча стектерден этият болуңуз. Кеңири тараган үлгү — курамында эсеп эрежеси бар include, андан кийин өзүңүздүн топ эрежеңиз, бул бир чечим күткөн жерде эки чечим жаратат. Тек өзгөрткөн файлды эмес, кошулган файлды да окуңуз. Натыйжалуу тартипти көрүүнүн тез жолу — файлды жогорудан ылдый окуп, ар бир башкаруу маанисин белгилеп жазуу.

Кабыл алуунун башка талаптарын бузулбаган бойдон калтырыңыз. Ийгиликтүү сырсөз сертификат текшерүүлөрүн, экинчи факторду же туташуудан кийинки авторизацияны алмаштырбайт, жана бул саясат алардын биринин ордун да баспайт. Ал эсептин VPN кирүүсү үчүн каралууга жарактуу экенин гана чечет.

Мүчөлөрдү, сырткы адамдарды жана туура эмес сырсөздөрдү текшерүү

Саясатты бүттү деп эсептеерден мурун үч учурду текшериңиз. Мүчө ийгиликтүү туташат. Топтон тышкаркы жарактуу эсеп сырсөзүн аутентификациялайт, бирок VPN кирүүсүнөн баш тартылат. Каалаган эсеп үчүн туура эмес сырсөз аутентификация этабында четке кагылат, топ эрежеси менен эмес.

Кардарга көрүнгөн катаны жана сервер журналын чогуу караңыз, анткени эки ийгиликсиздик тең туташып жаткан адамга окшош көрүнүшү мүмкүн. Айырма колдоо үчүн маанилүү: туура сырсөзү бар сырткы адамга топту өзгөртүү керек, ал эми туура эмес сырсөз ыйгарым укукту кайра коюуну талап кылат.

PAMды оңдоп жатканда экинчи сессияны ачык кармаңыз жана өзгөртүүдөн кийин кадимки SSH кирүүсүн да текшериңиз. Өзүнчө кызматтын мааниси — системалык кирүү таасирсиз калышы керек, жана муну билүүнүн жалгыз жолу аны текшерүү.

Бир нерсе бузулса, мурунку кызмат файлын көчүрмөдөн калыбына келтириңиз. Каалаган эрежеңизди айтуу оңой: мүчөлүк эсепти VPN кирүүсүнө жарактуу кылат, калган бардык милдеттүү текшерүүлөр дагы эле күчүндө.