അക്കൗണ്ട് ലോക്കും വിലാസ നിരോധനവും: OpenVPN യഥാർത്ഥത്തിൽ എവിടെ എണ്ണുന്നു

വിലാസം തടയുന്നതും അക്കൗണ്ട് ലോക്ക് ചെയ്യുന്നതും രണ്ട് വ്യത്യസ്ത സംവിധാനങ്ങളാണ്, അവ വിപരീത ദിശകളിൽ പരാജയപ്പെടുന്നു. വിലാസ നിരോധനം ഒരു ഉറവിടത്തെ നിർത്തുന്നു, ലക്ഷ്യ അക്കൗണ്ട് മറ്റെവിടെ നിന്ന് എത്താവുന്നതായി തുടരുന്നു; അക്കൗണ്ട് ലോക്ക് ആ ഐഡന്റിറ്റിയെ എല്ലായിടത്തും നിർത്തുന്നു, ഉപയോക്താവിന്റെ സ്വന്തം ലാപ്ടോപ്പിലും.

പ്രാമാണീകരണം PAM ന് നൽകുന്ന VPN ന്, എണ്ണം എന്നത് PAM സ്റ്റാക്ക് എത്തുന്നിടമാണ്, ശ്രോതാവ് രേഖപ്പെടുത്തിയതല്ല.

രണ്ട് കൗണ്ടറുകൾ, രണ്ട് വ്യത്യസ്ത ഇരകൾ

നിരക്ക് പരിധി ഒരു ഉറവിടത്തെ നോക്കി അടുത്തിടെ അതിൽ നിന്ന് എത്ര ശ്രമങ്ങൾ വന്നു എന്ന് ചോദിക്കുന്നു. ലോക്ക് ഒരു ഐഡന്റിറ്റിയെ നോക്കി ആ അക്കൗണ്ട് എത്ര പരാജയങ്ങൾ സമാഹരിച്ചു എന്ന് ചോദിക്കുന്നു. ആദ്യത്തേത് ലഭ്യത സംരക്ഷിക്കുന്നു, രണ്ടാമത്തേത് ക്രെഡൻഷ്യലുകൾ; ഒന്നും മറ്റൊന്നിന് പകരമാകുന്നില്ല.

അതിനാൽ അഞ്ച് പരാജയങ്ങൾക്ക് ശേഷം ഞങ്ങൾ IP തടയുന്നു എന്ന വാക്യം ക്രെഡൻഷ്യൽ നിറയ്ക്കൽ റിപ്പോർട്ടിനുള്ള ഉത്തരമല്ല. ആക്രമണകാരി ഉറവിടങ്ങൾ മാറ്റുന്നു, ഓരോന്നിനും കുറച്ച് ശ്രമങ്ങൾ മാത്രം ലഭിക്കുന്നു, അക്കൗണ്ട് ഒരിക്കലും എണ്ണപ്പെടുന്നില്ല. നേരെ മറിച്ച്, ഉറവിട നിയന്ത്രണമില്ലാത്ത ലോക്ക് ആക്രമണകാരിക്ക് ഉദ്ദേശ്യപൂർവ്വം പരാജയപ്പെട്ട് അക്കൗണ്ട് അനിശ്ചിതമായി ലോക്ക് ചെയ്ത് വയ്ക്കാൻ അനുവദിക്കുന്നു.

രണ്ട് നിയന്ത്രണങ്ങൾക്കും വ്യത്യസ്ത വീണ്ടെടുക്കൽ കഥകളുണ്ട്. വിലാസ നിരോധനം ആരും ചിന്തിക്കേണ്ട ടൈമറിൽ കാലഹരണപ്പെടുന്നു; അക്കൗണ്ട് ലോക്കിന് കാര്യനിർവാഹകൻ, രേഖപ്പെടുത്തിയ കാത്തിരിപ്പ് കാലയളവ്, അല്ലെങ്കിൽ സ്വയം സേവന പുനഃസജ്ജീകരണം ആവശ്യമായി വന്നേക്കാം.

ഇതിനകം എണ്ണം ഉള്ള സംഭരണി കണ്ടെത്തുക

എന്തെങ്കിലും ചേർക്കുന്നതിന് മുമ്പ് പരാജയ സംഭരണി ഇതിനകം ഉണ്ടോ എന്ന് കണ്ടെത്തുക. പ്രാദേശിക Linux അക്കൗണ്ട്, ഡയറക്ടറി സേവനം, ബാഹ്യ ഐഡന്റിറ്റി ദാതാവ് എന്നിവ ഓരോന്നും സ്വന്തം എണ്ണം സൂക്ഷിക്കുന്നു, അവയുടെ മുന്നിൽ വയ്ക്കുന്ന PAM മൊഡ്യൂൾ ആദ്യത്തേത് വിപുലീകരിക്കുന്നതിന് പകരം രണ്ടാമത്തേത് സൃഷ്ടിക്കുന്നു.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

VPN യഥാർത്ഥത്തിൽ പേരിടുന്ന സേവന ഫയൽ വായിച്ച് അതിന്റെ ഉൾപ്പെടുത്തൽ വരികൾ പിന്തുടരുക. പല വിതരണങ്ങളിലും VPN സേവനം ഒരു പൊതു ഫയൽ ഉൾപ്പെടുത്തുന്നു, അതായത് നിങ്ങൾ ക്രമീകരിക്കുന്ന എണ്ണം SSH നും പ്രാദേശിക ലോഗിനുകൾക്കും ബാധകമാണ്.

ഡയറക്ടറി ഇതിനകം ലോക്ക് നടപ്പിലാക്കുന്നുണ്ടെങ്കിൽ, PAM സംഭാഷണം ആ തീരുമാനത്തിൽ എത്തുന്നതെങ്ങനെയെന്നും VPN അത് റിപ്പോർട്ട് ചെയ്യുന്നതെങ്ങനെയെന്നുമാണ് ഉപയോഗപ്രദമായ ചോദ്യം. മുകളിൽ ചേർത്ത പ്രാദേശിക എണ്ണം ഡയറക്ടറിയുടെ കൗണ്ടർ ആകുന്നില്ല, അക്കൗണ്ട് എപ്പോൾ തുറക്കുന്നു എന്നതിൽ രണ്ട് നയങ്ങളും യോജിച്ചേക്കില്ല.

pam_faillock ന് ഒന്നല്ല, മൂന്ന് വിളി സ്ഥാനങ്ങളുണ്ട്

ഒരു പകർത്തിയ വരി മങ്ങിക്കുന്ന മൂന്ന് പ്രവർത്തനങ്ങളെ മൊഡ്യൂൾ വേർതിരിക്കുന്നു: അക്കൗണ്ട് ഇതിനകം ലോക്ക് ആണോ എന്ന് പരിശോധിക്കൽ, പരാജയം രേഖപ്പെടുത്തൽ, വിജയത്തിന് ശേഷം ചരിത്രം മായ്ക്കൽ.

പഴയ എണ്ണ മൊഡ്യൂളിൽ നിന്നുള്ള മാറ്റം സാധാരണയായി ഇവിടെ തെറ്റുന്നു. പ്രവർത്തിക്കുന്ന pam_tally2 ഉദാഹരണത്തിൽ നിന്ന് വരി pam_faillock സ്റ്റാക്കിലേക്ക് പകർത്തുന്നത് പുനർനാമകരണമല്ല; രേഖപ്പെടുത്തിയ ക്രമീകരണം വ്യത്യസ്തമാണ്, തെറ്റായ സ്ഥാനത്തുള്ള വിളി പരാജയങ്ങൾ ഒരിക്കലും പരിശോധിക്കാതെ രേഖപ്പെടുത്തിയേക്കാം.

faillock --user alice
faillock --user alice --reset

പരിശോധന ഉപകരണം കൗണ്ടർ യഥാർത്ഥമാണോ എന്ന് കാണാനുള്ള വേഗതയേറിയ വഴിയാണ്: അത് അക്കൗണ്ടിന്റെ രേഖപ്പെടുത്തിയ പരാജയങ്ങൾ കാണിക്കുന്നു, അവ മായ്ക്കാനും കഴിയും. നിയന്ത്രിത പരാജയം ആ ഔട്ട്പുട്ട് മാറ്റുന്നില്ലെങ്കിൽ, വിളിയുടെ സ്ഥാനം തെറ്റാണ്.

സമർപ്പിത സേവന നാമം ഒറ്റപ്പെടുത്തലല്ല

VPN ന് സ്വന്തം PAM സേവന ഫയൽ നൽകുന്നത് ഉദ്ദേശിച്ച നയം കാണാൻ സഹായിക്കുന്നു, പക്ഷേ സ്വാധീനം പരിമിതപ്പെടുത്തുന്നില്ല. ഒരു പൊതു ഫയലിന്റെ ഏതെങ്കിലും ഉൾപ്പെടുത്തൽ ആ ഫയൽ ചെയ്യുന്നത് കൊണ്ടുവരുന്നു, മുഴുവൻ സിസ്റ്റത്തിനും ബാധകമായ എണ്ണങ്ങൾ ഉൾപ്പെടെ.

ലോക്ക് VPN ആക്സസ് മാത്രം ഉൾക്കൊള്ളണമോ അതേ അക്കൗണ്ട് പ്രാമാണീകരിക്കുന്ന എല്ലാ സേവനങ്ങളെയും ഉൾക്കൊള്ളണമോ എന്ന് വ്യക്തമായി തീരുമാനിക്കുക. രണ്ട് ഉത്തരങ്ങളും സംരക്ഷിക്കാവുന്നതാണ്; ഒന്ന് തിരഞ്ഞെടുത്തു എന്ന് വിശ്വസിക്കുമ്പോൾ സ്റ്റാക്ക് മറ്റൊന്ന് നടപ്പിലാക്കുന്നതാണ് പരാജയം.

പിന്നീട് ചെലവ് പരിഗണിക്കുക. ആക്രമണകാരിക്ക് ലോക്ക് ഉണ്ടാക്കാം, കഷ്ടപ്പെടുന്ന ഉപയോക്താവ് അക്കൗണ്ടിന്റെ ഉടമയാണ്. പരിധി, കാത്തിരിപ്പ് കാലയളവ്, ഭരണപരമായ വീണ്ടെടുക്കൽ വഴി എന്നിവ നയത്തിന്റെ ഭാഗമാണ്, സംഭവ സമയത്ത് VPN പുനഃക്രമീകരിക്കുന്നതിനെ ആശ്രയിക്കരുത്.

ഒരു നിരസിക്കലല്ല, ക്രമം സ്വീകരിക്കുക

അംഗീകരിച്ച പദ്ധതി പ്രകാരം നിയുക്ത ഐഡന്റിറ്റികളിൽ പരീക്ഷിക്കുക, ഒരു സംഭവത്തിന് പകരം ഒരു ശൃംഖല പരീക്ഷിക്കുക: സാധുവായ അക്കൗണ്ട് പ്രാമാണീകരിക്കുന്നു, ഉദ്ദേശ്യപൂർവ്വം തെറ്റായ പാസ്വേഡ് കൗണ്ടർ നീക്കുന്നു, ക്രമീകരിച്ച ലോക്ക് പ്രാബല്യത്തിൽ വരുന്നു, രേഖപ്പെടുത്തിയ വീണ്ടെടുക്കൽ ആക്സസ് തിരികെ നൽകുന്നു.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

പരാജയത്തിന്റെ അതേ ശ്രദ്ധയോടെ വിജയത്തിന്റെ സ്വഭാവവും നോക്കുക. വിജയകരമായ ലോഗിൻ ചരിത്രം മായ്ക്കുന്നില്ലെങ്കിൽ, സാധാരണ തെറ്റുകൾ പതിയെ കൂടിയതിന് ശേഷം അക്കൗണ്ട് ലോക്ക് ആകും. എല്ലാ സേവനങ്ങളിൽ നിന്നും എല്ലാം മായ്ക്കുന്നുവെങ്കിൽ, കൗണ്ടർ നയം അവകാശപ്പെടുന്നതിനേക്കാൾ ദുർബലമാണ്.

അവസാനമായി, വിജയം പ്രഖ്യാപിക്കുന്നതിന് മുമ്പ് മേൽനോട്ടമില്ലാത്ത ക്ലയന്റുകൾ നിർത്തുക. സംരക്ഷിച്ച ക്രെഡൻഷ്യലുകൾ പശ്ചാത്തലത്തിൽ വീണ്ടും ശ്രമിച്ച് വീണ്ടെടുക്കലിന് ശേഷം ഏതാനും മിനിറ്റിനുള്ളിൽ പരാജയങ്ങൾ വീണ്ടും സൃഷ്ടിച്ച് അക്കൗണ്ട് വീണ്ടും ലോക്ക് ചെയ്യും. ഉറവിട അടിസ്ഥാനമാക്കിയ നിരക്ക് പരിധി അധിക നിയന്ത്രണമായി തുടരാം, പക്ഷേ അത് അക്കൗണ്ട് നയമല്ല.