PAM modulis nežinomas: kuris procesas iš tikrųjų nepavyko
Pranešimas įvardija bendrinį objektą ir įėjimo tašką, o ne slaptažodį. Raskite procesą, kuris jį užregistravo, tada patikrinkite įkėlimą, simbolius ir kamino garantijas.
Skaitykite šią frazę kaip teiginį apie bendrinį objektą ir funkcijos rodyklę, o ne apie slaptažodį. Tie patys žodžiai gali ateiti iš OpenVPN papildinio, vienai paslaugai įkelto PAM kamino arba iš RADIUS demono vidaus, ir tai trys skirtingi tyrimai. Pirmiausia nustatykite procesą.
Toliau pateikti patikrinimai daro prielaidą, kad pranešimas pasirodė per Linux-PAM integraciją prisijungiant prie VPN. Jei jis atėjo iš paties RADIUS serverio konfigūracijos, pradėkite nuo to demono įrodymų.
Įvardykite procesą prieš įvardydami paketą
Trys komponentai vadinami moduliu ir nė vienas nėra pakeičiamas. OpenVPN autentifikavimo papildinį įkelia VPN demonas ir jis įgyvendina to demono atgalinio iškvietimo sąsają. PAM modulis yra bendrinis objektas, kurį libpam įkelia įvardytai paslaugai, ir kuris įgyvendina įėjimo taškus, tokius kaip pam_sm_authenticate. FreeRADIUS modulis yra to demono pačios konfigūracijos dalis. Pranešimas tais pačiais žodžiais gali ateiti iš bet kurio iš trijų, todėl pirmas klausimas yra kuri žurnalo eilutė jį sukūrė.
Suderinkite vieno nepavykusio bandymo laiko žymą VPN žurnale ir sistemos autentifikavimo žurnale, tada perskaitykite eilutes prieš suvestinę. Konkretus įkėlėjo pranešimas paprastai jau būna ten.
Perskaitykite įkėlimo klaidą, tada įėjimo tašką
PAM praneša apie nežinomą modulį, kai negali įkelti pasirinkto bendrinio objekto arba kai įkeltasis objektas neteikia funkcijos, kurios reikalauja ta kamino eilutė. Tai skirtingi taisymai: pirmasis yra kelio, pakavimo ar ABI problema, o antrasis yra nesutampantis įėjimo taškas. Autentifikavimo eilutei reikia pam_sm_authenticate o paskyros eilutei reikia pam_sm_acct_mgmt, ir biblioteka, kuri įgyvendina tik vieną iš jų, nepavyks prie kito, kaip siuntėjo kodas rodo. Failo radimas diske neįrodo nė vieno.
Panašaus pavadinimo bibliotekos paėmimas iš kitos distribucijos ar procesoriaus architektūros nėra taisymas ir gali palikti procesą įkeliantį modulį, kuris niekada nebuvo išbandytas su jo libpam. Prieš ką nors keisdami patikrinkite paketą, kuriam priklauso numatytas kelias, ir tikrąją failo architektūrą.
Išsaugokite garantijas, kurias kamina suteikė
Greičiausias būdas nutildyti šią klaidą yra ir blogiausias: pažymėti privalomą modulį kaip neprivalomą, ištrinti paskyros etapą, arba įterpti besąlyginį leidimą. Kiekvienas iš jų paverčia nepavykusį patikrinimą neegzistuojančiu patikrinimu, ir prisijungimas tada pavyksta dėl priežasčių, kurių niekas neketino. Slaptažodžių nustatymas iš naujo ir bendros paslapties keitimas taip pat nesuteikia trūkstamos funkcijos, nes gedimas įvyksta prieš bet kokiam prisijungimo duomeniui pasiekiant backend.
Kelių modulių kamina galėjo paleisti kitą backend prieš nepavykusią eilutę, todėl klaida neįrodo, kad RADIUS užklausa nebuvo išsiųsta.
Tikrinkite prisijungimą, o ne modulį
Ištaisę neatitikimą, išbandykite tikrąjį priėmimo kelią. Galiojanti paskyra turėtų praeiti, neteisingi prisijungimo duomenys turėtų ir toliau nepavykti, o uždrausta paskyra turėtų ir toliau būti atmetama. Taip pat patvirtinkite, kad bet koks sertifikato ar papildomo veiksnio reikalavimas vis dar vykdomas, nes etapą praleidžianti suremontuota kamina kliento pusėje atrodo kaip sėkmė.
Švarus modulio įkėlimas yra pažanga, o ne baigtas testas.
Užrašykite, kuris paslaugos pavadinimas, kurie politikos failai ir kurie įėjimo taškai buvo susiję, kartu su vieninteliu bandymu, kurį naudojote kaip įrodymą. Būtent šis įrašas paverčia kitą atvejį paieška, o ne archeologijos pratimu.