PAM modulis nav zināms: kurš process patiesībā neizdevās

Lasiet šo frāzi kā apgalvojumu par koplietotu objektu un funkcijas rādītāju, nevis par paroli. Tie paši vārdi var nākt no OpenVPN spraudņa, vienam pakalpojumam ielādēta PAM steka vai no RADIUS dēmona iekšpuses, un tie ir trīs dažādas izmeklēšanas. Vispirms nosakiet procesu.

Tālākās pārbaudes pieņem, ka ziņojums parādījās, izmantojot Linux-PAM integrāciju VPN pieteikšanās laikā. Ja tas nāca no paša RADIUS servera konfigurācijas, sāciet ar tā dēmona pierādījumiem.

Nosauciet procesu pirms pakotnes nosaukšanas

Trīs komponentus sauc par moduli, un neviens no tiem nav aizstājams. OpenVPN autentifikācijas spraudni ielādē VPN dēmons, un tas īsteno šī dēmona atzvanīšanas saskarni. PAM modulis ir koplietots objekts, ko libpam ielādē nosauktam pakalpojumam, un kas īsteno ievades punktus, piemēram, pam_sm_authenticate. FreeRADIUS modulis ir šī dēmona paša konfigurācijas daļa. Ziņojums ar tiem pašiem vārdiem var nākt no jebkura no trim, tāpēc pirmais jautājums ir, kura žurnāla rinda to radīja.

Saskaņojiet viena neveiksmīga mēģinājuma laika zīmogu starp VPN žurnālu un sistēmas autentifikācijas žurnālu, pēc tam izlasiet rindas pirms kopsavilkuma. Konkrētais ielādētāja ziņojums parasti jau ir tur.

Izlasiet ielādes kļūdu, pēc tam ievades punktu

PAM ziņo par nezināmu moduli, kad tas nevar ielādēt izvēlēto koplietoto objektu vai kad ielādētais objekts nenodrošina funkciju, ko pieprasa šis steka ieraksts. Tie ir dažādi labojumi: pirmais ir ceļa, iepakojuma vai ABI problēma, bet otrais ir neatbilstošs ievades punkts. Autentifikācijas rindai vajadzīgs pam_sm_authenticate savukārt konta rindai vajadzīgs pam_sm_acct_mgmt, un bibliotēka, kas īsteno tikai vienu no tiem, neizdosies otrā, kā sūtītāja kods parāda. Faila atrašana diskā nepierāda nevienu.

Līdzīga nosaukuma bibliotēkas ņemšana no citas distribūcijas vai procesora arhitektūras nav labojums, un tas var atstāt procesu ielādējam moduli, kas nekad nav pārbaudīts pret tā libpam. Pirms kaut ko mainīt, pārbaudiet pakotni, kurai pieder paredzētais ceļš, un faila faktisko arhitektūru.

Saglabājiet garantijas, ko steka sniedza

Ātrākais veids, kā apklusināt šo kļūdu, ir arī sliktākais: atzīmēt obligātu moduli kā neobligātu, dzēst konta posmu, vai ievietot beznosacījumu atļauju. Katrs no tiem pārvērš neveiksmīgu pārbaudi par neesošu pārbaudi, un pieteikšanās tad izdodas tādu iemeslu dēļ, kurus neviens nebija paredzējis. Paroļu atiestatīšana un koplietotā noslēpuma maiņa arī nenodrošina trūkstošo funkciju, jo kļūme notiek pirms jebkuri akreditācijas dati sasniedz backend.

Vairāku moduļu steks varēja pirms neveiksmīgā ieraksta palaist citu backend, tāpēc kļūda nepierāda, ka RADIUS pieprasījums netika nosūtīts.

Pārbaudiet pieteikšanos, nevis moduli

Pēc neatbilstības izlabošanas pārbaudiet faktisko pielaides ceļu. Derīgam kontam vajadzētu izdoties, nederīgiem akreditācijas datiem joprojām jācieš neveiksme, un aizliegtam kontam joprojām jātiek noraidītam. Apstipriniet arī, ka jebkura sertifikāta vai papildu faktora prasība joprojām tiek piemērota, jo salabots steks, kas izlaiž posmu, no klienta puses izskatās kā panākums.

Tīra moduļa ielāde ir progress, nevis pabeigts tests.

Pierakstiet, kurš pakalpojuma nosaukums, kuri politikas faili un kuri ievades punkti bija iesaistīti, kopā ar vienīgo mēģinājumu, ko izmantojāt kā pierādījumu. Tieši šis pieraksts padara nākamo gadījumu par meklēšanu, nevis arheoloģijas vingrinājumu.