Kontospärung géint Adressverbuet: wou OpenVPN richteleg zielt

Eng Adress blockéieren an e Konto spären sinn zwee verschidde Mechanismer, a si schéiteren an entgéintgesate Richtungen. Eng Adressverbuet stoppt eng Quell an de Zielkonto bleift vun anere Plazen erreechbar; eng Kontospärung stoppt déi Identitéit iwwerall, och um Laptop vum Benotzer selwer.

Fir eng VPN, déi d’Authentifikatioun un PAM delegéiert, ass den Zähler dat, wat de PAM-Stack erreecht, net dat, wat de Lauschterer geloggt huet.

Zwee Zähler, zwee verschidde Affer

En Tarifbegrenzer kuckt eng Quell a freet, wéi vill Versich viru kuerzem vun do koumen. Eng Spärung kuckt eng Identitéit a freet, wéi vill Feeler de Konto gesammelt huet. Déi éischt schützt d’Disponibilitéit, déi zweet d’Authentifikatiounsdaten; keng ersetzt déi aner.

Dofir ass de Saz mir blockéieren d’IP no fënnef Feeler keng Äntwert op e Rapport iwwer d’Fëllen vun Authentifikatiounsdaten. Den Ugräifer wiesselt Quellen, all kritt wéineg Versich, an de Konto gëtt ni gezielt. Ëmgekehrt erlaabt eng Spärung ouni Quellkontrolle dem Ugräifer, de Konto onbestëmmt gespaart ze halen, andeem hien absichtlech schéitert.

Déi zwou Kontrollen hunn och ënnerschiddlech Geschichten zur Erhuelung. Eng Adressverbuet leeft mat engem Timer of, un deen kee muss denken; eng Kontospärung kann en Administrateur, eng dokumentéiert Waardezäit oder eng Self-Service-Zerécksetzung erfuerderen.

Fannt de Speicher, deen d’Zielung schonn huet

Ier Dir eppes bäifüügt, fannt eraus, ob et schonn e Fehlerspeicher gëtt. E lokale Linux-Konto, en Verzeechnisdéngscht an en externen Identitéitsprovider halen all hir eege Zielung, an e PAM-Modul dovir schaaft eng zweet, amplaz déi éischt ze erweideren.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Liest d’Servicedatei, déi d’VPN tatsächlech nennt, a follegt hirem Abanne vun aneren Dateien. An ville Distributiounen abonnéiert de VPN-Service eng gemeinsam Datei, dat heescht d’Zielung, déi Dir upasst, gëllt och fir SSH an lokal Umeldungen.

Wann d’Verzeechnis schonn eng Spärung duerchsetzt, ass déi nëtzlech Fro, wéi de PAM-Gespréich zu där Entscheidung kënnt a wéi d’VPN se mellt. Eng lokal Zielung uewendrop gëtt net den Zähler vum Verzeechnis, an déi zwou Politike kënnen onséi sinn, wéini de Konto opgeet.

pam_faillock huet dräi Opruffplazen, net eng

De Modul trennt dräi Operatiounen, déi eng kopéiert Linn dacks verwëscht: kontrolléieren, ob de Konto scho gespaart ass, en Feeler opzeechnen an d’Geschicht no engem Erfolleg läschen.

Hei geet d’Migratioun vun engem eelere Zielmodul dacks schief. Eng Linn aus engem funktionéierende pam_tally2-Beispill an e pam_faillock-Stack ze kopéieren ass keng Ëmbenennung; déi dokumentéiert Ariichtung ass anescht, an en falsch plazéierten Opruff kann Feeler opzeechnen, ouni se je ze kontrolléieren.

faillock --user alice
faillock --user alice --reset

D’Inspektiounsinstrument ass de séiersten Wee, fir ze gesinn, ob den Zähler richteg ass: et weist déi opgezeechent Feeler fir e Konto a kann se läschen. Wann en kontrolléierte Feeler deen Ausgang net ännert, ass d’Plaz vum Opruff falsch.

En eegene Servicenumm ass keng Isolatioun

Der VPN hir eegen PAM-Servicedatei ze ginn, mécht déi gewollt Politik sichtbar, awer begrenzt den Effekt net. All Abanne vun enger gemeinsamer Datei zitt mat, wat déi Datei mécht, och Zielungen fir de ganze System.

Entscheet kloer, ob d’Spärung just den VPN-Zougrëff deckt oder all Service, deen dee selwechte Konto authentifizéiert. Béid Äntwerten si verdeedegbar; de Feeler ass ze gleewen, Dir hätt ee gewielt, während de Stack deen aneren ëmsetzt.

Rechent dann d’Käschten an. En Ugräifer kann d’Spärung ausléisen, an de Benotzer dee leid ass den Eegentemer vum Konto. Drempel, Waardezäit an den administrativen Erhuelungswee sinn Deel vun der Politik, an d’Erhuelung däerf net dovun ofhänken, datt d’VPN während engem Tëschefall ëmkonfiguréiert gëtt.

Akzeptéiert d’Reiefolleg, net eng eenzeg Oflehnung

Testt mat designéierten Identitéiten no engem guttgeheeschtem Plang, an testt eng Kette amplaz vun engem eenzegen Evenement: e gültege Konto authentifizéiert sech, en absichtlech falscht Passwuert beweegt den Zähler, déi konfiguréiert Spärung trëtt a Kraaft, an déi dokumentéiert Erhuelung gëtt den Zougrëff zréck.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Kuckt d’Erfollegsverhalen esou suergfälteg wéi d’Feelerverhalen. Wann eng erfollegräich Umeldung d’Geschicht net läscht, gëtt e Konto no enger lueser Usammlung vun normale Feeler gespaart. Wann se alles aus all Service läscht, ass den Zähler méi schwaach wéi d’Politik behaapt.

Zum Schluss stoppt oniwwerwaacht Cliente virun der Victoire. Eng gespäichert Authentifikatioun, déi am Hannergrond erëm probéiert, schaaft d’Feeler e puer Minutten no enger Erhuelung erëm a späert de Konto nach eng Kéier. Tarifbegrenzung op Basis vun der Quell kann als zousätzlech Kontroll bleiwen, awer et ass net d’Kontopolitik.