Firwat d’Änneren vun enger .ovpn-Datei MFA op dem Server net kann aschalten

Dir fügt auth-user-pass zu engem Profil derbäi, verbënnt Iech nei, an de Client freet no engem Benotzernumm an engem Passwuert. Et gesäit aus wéi wann MFA un ass. Du gitt Dir e Code vum falschen Kont an, oder e Code deen virun zéng Minutten ofgelaf ass, an den Tunnel kënnt trotzdem erop. Dat ass de Symptom: de Client huet sech geännert, de Server net. En Eenmol-Passwuert ass nëmmen dann e Faktor, wann e Verifizéierer um Server entscheet, ob et fir d’Identitéit gëlteg ass, déi et verlaangt.

D’Ufro beweist nëmmen, datt de Client gefrot huet, méi net

Eng .ovpn-Datei ass en Dokument op der Clientsäit. Si kann dem Client soen, datt hie Recette freet, se am Cache hält oder domat ophält. Si kann awer kee Benotzer registréieren, kee PAM-Modul installéieren oder de Server dozou bréngen, en zweeten Faktor ze verlaangen, deen en de Moment net kontrolléiert.

D’Installatioun vun enger Authentifikatiouns-App op engem Telefon schaaft och net dës Bezéiung. De Google Authenticator PAM-Projet ass eng OTP-Verifikatiounskomponent, déi hannert OpenVPN ka stoen; et ass kee Wee, fir de Google-Konto-Login op e importéierte Profil ze pechen.

D’Registréierung ass deen Deel, deen e Profil net kann

TOTP brauch Registréierungsmaterial, dat tëscht der Authentifikatiouns-App an hirem Verifizéierer gedeelt gëtt. Déi sechs Zifferen um Telefon sinn den Output; de Somen dohannert ass de Geheimnis, an et gehéiert zu enger Identitéit.

Dofir brauch den Operateur e Registréierungsprozess, deen de richtege Somen un déi richteg VPN-Identitéit bënnt, plus e verifizéierte Ersatzwee fir en verluerenen Telefon. Wann d’Benotzer eng Datei kënnen eroplueden, déi no hinnen genannt ass, gëtt d’Registréierung eng Méiglechkeet fir Kontiwwerhuelung, an d’Verschlësselung vum Upload ännert dat net.

En Design op PAM-Basis muss net fir all VPN-Benotzer e separat Unix-Konto schafen. D’Modul-Dokumentatioun ënnerstëtzt alternativ geheim Weeër an e spezielle Konto fir Dateizougrëff, also eng Dateisystem-Identitéit an net d’Login-Identitéit, déi verifizéiert gëtt.

De geleefege Feeler ass e feste geheime Wee, deen op engem Benotzernumm ophält, kopéiert aus engem Een-Benotzer-Beispill. Dat ass eng Demonstratioun fir eng Identitéit, keng Sich pro Benotzer, a wien en fir all Ufro benotzt, gëtt keen eng onofhängeg registréiert Authentifikatiouns-App. Schreift d’Identitéits-Mapping op, schützt d’Somen-Dateien a hält d’Passwuert-, Zertifikat- an Kontkontrollen am selwechten Authentifikatiouns-Stack.

Liest de PAM-Stack, fir ze gesinn, wat tatsächlech verlaangt gëtt

Eng Linn wéi account required pam_permit.so implementéiert keng Kontberechtegung a füügt kee Faktor derbäi. Si erlaabt déi PAM-Kontverwaltungsstuf, wat eng Ausso iwwer eng Stuf ass an net iwwer Är Benotzer.

Datselwecht gëllt fir permisiv Registréierungsoptiounen. Benotzer ouni registréierte Somen ze akzeptéieren kann eng bewosst Aféierungsentscheedung sinn, awer et ass kee Beweis, datt MFA obligatoresch ass, an et sollt als temporär Ausnam mat engem Enddatum opgeschriwwe ginn.

Passt d’Interaktioun vum Client un den Design vum Server un

auth-user-pass

Dës Direktiv freet no der Agab vum Benotzernumm a Passwuert. Si konfiguréiert PAM net, schaaft kee Registréierungsrecord a seet dem Server net, datt d’Passwuertfeld en TOTP-Wäert enthält. D’Serverintegratioun an de Client mussen sech op eng Interaktioun eeneg ginn, déi d’Deployement tatsächlech ënnerstëtzt: eng Challange, en dokumentéierte kombinéierte Recette-Format oder en produktspezifesche Floss.

Füügt kee Code un d’Passwuert derbäi, just well de Client ee Feld weist. Dat funktionéiert nëmmen do, wou de Plugin vum Server genee dee Format erwaart, an et feelt verwirrend iwwerall soss.

Hält Sommen a QR-Material aus gedeelte Profiler an aus rouine diagnostesche Loggen eraus. E Code, deen iwwer den authentifizéierte Login-Kanal agereecht gëtt, ass net dat selwecht Objet wéi de Somen, deen bei enger kontrolléierter Registréierung ausgëtt, an se an engem Support-Ticket ze vermëschen ass de Wee, wéi Geheimnisser entkommen.

Neiverbindungen, Tokenen an den Test, deen d’Saach entscheet

Plangt, wat nom éischte erfollegräiche Login geschitt. E virdrun akzeptéierte Code kann ofgelaf sinn oder als Widderhuelung bei der nächster Authentifikatioun ofgelehnt ginn. auth-nocache kontrolléiert d’Opbewaarung vu Recetten an installéiert net MFA, an reneg-sec 0 ass keng Definitioun vun TOTP-Ënnerstëtzung, sou dacks en och a Forenthreads optaucht.

E puer Deployementer ginn nom éischte Kontroll Authentifikatiouns-Tokenen aus, sou datt Neiverbindungen net nach eng Kéier froen. Dat ass eng Designentscheedung mat hirer eegener Gëltegkeetsfënster an hirer eegener Widerruffgeschicht, net en Default, deen Dir ierft.

Dann testt d’Zouloossungspolitik mam Client, deen d’Leit tatsächlech benotzen. E registréierte Benotzer mat dem richtegen Passwuert, Zertifikat an aktuelle Code sollt sech verbannen. E falsche Code, e Benotzer ouni Registréierung an e gespaarte Konto sollen all eenzel feelen, an de Grond soll am Server-Log sichtbar sinn. Bis Dir déi Oflehnungen gesinn hutt, hutt Dir eng Ufro, keng Politik.