OpenVPN LDAP-Authentifikatioun funktionéiert, awer d’Gruppepréifung schléit feel: wou een noleet

D’Authentifikatioun ka duerchgoen, während d’Gruppepréifung jiddwereen ofleet. Gitt den Authorization-Block, d’Memberattribut an den Ennpunkt vum Verzeechnes der Rei no duerch.

D’Umeldungsdaten gi duerch, den Tunnel fänkt un eropzeklammen, an duerno schléit d’Sessioun feel mat enger Noriicht iwwer d’Grupp an net iwwer d’Passwuert. Dës Kombinatioun setzt de Feeler an déi zweet Hallschent vun der Aarbecht vum LDAP-Plug-in: d’Bindung an d’Passwuertpréifung sinn duerchgaang, an déi decidéierend Memberschaftsentscheedung duerno net. Béid Halschente liesen aus demselwechte Konfiguratiounsblock, dofir kann eng Korrektur op enger Plaz déi aner onberéiert loossen. Fänkt bei der Logzeil un, déi de Schrëtt nennt, an net beim Kont, mat deem Dir zoufälleg testt.

Behandelt d’Oflehnung als eng Äntwert vun der Autorisatioun

De Plug-in mécht eng Déngschtbindung, sicht de Kont, verifizéiert d’Passwuert dat uginn gouf, a freet duerno, ob dee Kont zu enger erlaabter Grupp gehéiert. Dat sinn véier verschidden Operatiounen, a just déi lescht geet ëm Gruppen. Eng Oflehnung, déi no enger erfollegräicher Bindung kënnt, seet dofir näischt iwwer d’Passwuert, och wann de Client eng allgemeng Authentifikatiounsfeeler weist. Den Niveau vum Log vum Plug-in eropzesetzen, ier Dir d’Konfiguratioun ännert, ass dat, wat déi véier am Output trennt.

Sicht d’Bewäertung vun der Grupp selwer. Wann iwwerhaapt keng Gruppefro erschéngt, gëtt den Autorisatiounsblock net erreecht, wat normalerweis heescht, datt eng Direktiv ausserhalb vum Block steet, deem si gehéiert, oder datt eng obligatoresch Optioun feelt. Wann d’Fro erschéngt an näischt zréckgëtt, äntwert den Ennpunkt oder de Filter op eng aner Fro wéi déi, déi Dir gemengt hutt.

Entscheet, ob d’Memberschaft am Filter oder an engem Gruppeblock lieft

Et gëtt zwou ënnerstëtzte Formen, an si ze mëschen ass de Wee, wéi eng funktionéierend Konfiguratioun ophält ze funktionéieren. Déi éischt dréckt d’Memberschaft an d’Benotzersich andeems si en Attribut um Benotzerobjekt freet; déi zweet léisst d’Benotzersich an der Rou an dréckt de Plug-in duerno de Gruppobjekt ze sichen. Wielt eng pro Asaz an notéiert, déi Dir gewielt hutt.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(&(sAMAccountName=%u)(memberOf=CN=VPN Access,OU=Groups,DC=example,DC=org))"
    RequireGroup false
</Authorization>

Mat där Form decidéiert de Filter alles, dofir muss RequireGroup false sinn, soss geet de Plug-in en Gruppobjekt sichen, deen de Filter ni ernimmt huet. D’Attribut am Filter muss um Benotzerobjekt existéieren a gefëllt sinn, wat net garantéiert ass, soubal Gruppen verschachtelt sinn.

Déi aner Form hält d’Sich einfach a füügt duerno eng Gruppesich bäi. De Gruppobjekt gëtt explizit genannt, a de Plug-in vergläicht de Benotzer mat de Memberen, déi d’Verzeechnes dofir zréckgëtt. Näischt um Benotzerfilter ännert sech, wat dës Form méi einfach ze auditéréiere mécht, wann en anert Team d’Grupp verwalt.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(sAMAccountName=%u)"
    RequireGroup true
    Group        "CN=VPN Access,OU=Groups,DC=example,DC=org"
</Authorization>

De blanne Fleck ass gedeelt: en einfachen Memberschaftsverglach deelt verschachtelt Gruppen net aus, dofir schléit e Kont feel, deem säin Zougang iwwer eng Elteregrupp kënnt, während d’Konsole d’Memberschaft nach ëmmer weist. Active Directory weist member op der Grupp, aner Schemen benotze uniqueMember, a op dat falscht Attribut ze weisen gëtt en eidelt Resultat amplaz vun engem Feeler zréck.

Wielt en Ennpunkt, deen de Gruppobjekt hält

D’URL entscheet, wéi en Verzeechnes de Plug-in freet, an en Domänencontroller op Port 389 äntwert just fir säin eegenen Nummkontext. En globale Katalog op Port 3268 äntwert fir de ganzen Bësch, nëmme liesend an mat engem deelweisen Attributsset. Wann d’Konten an engem Domän sëtzen an d’VPN-Grupp an engem aneren, kann eng eenzeg-Domän-Fro de Benotzer fannen an d’Memberschaft nach ëmmer verpassen. Dat ass de Fall, wou d’URL op de Katalogport ze réckelen d’Oflehnung léist, an et ass och de Fall, wou d’Leit ze wäit generaliséieren.

Den deelweisen Attributsset ass d’Grenz: op en Attribut, deen de Katalog net hält, kann net filtréiert ginn, dofir kann déiselwecht Ännerung engem Asaz schaffen an en aneren näischt zréckginn. Bestätegt, wat den Ennpunkt tatsächlech fir de richtege Benotzer a Grupp zréckgëtt, ier Dir de Block nei schreift. Referrals an TLS sinn nees eegen Themen, well engem Referral gefollegt muss ginn an en Ennpunkt, deen TLS verlaangt, déi passend Vertrauensdateien brauch.

Hält de Kontstatus an de Sichberäich an hirem eegene Felder

D’Deaktivéierungsfändchen gehéiert an de Filter, net an d’Gruppepréifung. An Active Directory ass et dat zweet Bit vun userAccountControl, an ouni déi Conditioun authentifizéiert sech en deaktivéierte Kont mat engem valabe Passwuert a schléit duerno um Gruppeschrëtt feel, wat wéi e Autorisatiounsfeeler ausgesäit. De Sichberäich gehéiert an de Basis-DN, well vun der Domänewuerzel unzefänken méi lues ass an Objeten ausserhalb vun der Organisationseenheet treffe kann, déi Dir wëllt ofdecken.

Hält d’Rechter vum Bind-Kont och enk. Breide Verzeechnesrechter maachen aus engem falsch konfiguréierte Filter eng erfollegräich Fro an verstoppen de Feeler, bis een de Kont auditéréiert. Ännert d’Memberschaft am Verzeechnes selwer, ni an enger lokaler Ausnamlëscht, sou datt de Kont ze deaktivéieren duergeet, fir den Zougang ewechzehuelen. Wann en anert Team d’Grupp verwalt, verständegt Iech op den Attribut, deen si fëllen, ier Dir e Filter drop schreift.

Beweist d’Resultat mat dräi Konten

Loosst d’Konfiguratioun géint dräi Identitéiten lafen: en erlaabte Member, e valabe Kont ausserhalb vun der Grupp an e Kont, deen deaktivéiert gouf. Wa jiddweree vun den dräi ofgeleent gëtt, ass d’Bindung oder d’Gruppefro futti; wa jiddwereen ugeholl gëtt, gëtt iwwerhaapt keng Gruppebedingung ugewannt. En gemëscht Resultat ass deen eenzegen, deen beweist, datt d’Konfiguratioun d’Fäll ënnerscheet, déi Iech wichteg sinn.

Liest déiselwecht dräi Äntwerten direkt aus dem Verzeechnes, ier Dir de Plug-in beschëllegt. Déi éischt Fro weist den Gruppattribut, vun deem de Filter ofhänkt, an déi zweet weist de Wäert vun der Kontsteierung. Ersetzt mat Ärem eegene Basis-DN, Kont an Ennpunkt:

ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=alice)" memberOf
ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=bob)" userAccountControl

E Benotzer, deem säin memberOf eidel zréckkënnt, ass eng Tatsaach vum Verzeechnes, keen Feeler vum Plug-in, an e Kont, deen sech no der Deaktivéierung nach ëmmer authentifizéiert, heescht, datt dem Filter d’Conditioun vun der Kontsteierung feelt. Korrigéiert dës Beweis éischt, a loosst duerno den Test mat dräi Konten nach eng Kéier lafen. Hält d’Logzeil, déi de feelgeschloene Schrëtt genannt huet, nieft der Konfiguratiounsännerung, sou datt déi nächst Persoun d’Autorisatioun vun der Authentifikatioun trenne kann, ouni d’Sich ze widderhuelen.

Ähnlech Artikelen