Бүртгэл түгжих эсвэл хаяг хориглох: OpenVPN үнэхээр хаана тоолдог

Хаяг блоклох, бүртгэл түгжих нь хоёр өөр механизм бөгөөд эсрэг чиглэлд бүтэлгүйтдэг. Хаяг хориглох нь нэг эх сурвалжийг зогсоож, зорилтот бүртгэл өөр газраас хүртээмжтэй хэвээр байна; бүртгэл түгжих нь тухайн таних тэмдгийг хаа сайгүй зогсоож, хэрэглэгчийн өөрийн зөөврийн компьютер дээр ч зогсоодог.

Баталгаажуулалтыг PAM-д шилжүүлдэг VPN-д тоолуур нь PAM стек хүрдэг газар бөгөөд сонсогч бичсэн зүйл биш.

Хоёр тоолуур, хоёр өөр хохирогч

Хурдны хязгаарлагч эх сурвалжийг харж, саяхан түүнээс хэдэн оролдлого ирснийг асуудаг. Түгжилт нь таних тэмдгийг харж, бүртгэл хэдэн алдаа хураасныг асуудаг. Эхнийх нь хүртээмжийг, хоёр дахь нь нэвтрэх мэдээллийг хамгаална; нэг нь нөгөөг орлохгүй.

Тиймээс таван алдааны дараа IP-г блоклоно гэсэн өгүүлбэр нь нэвтрэх мэдээлэл дүүргэсэн тухай тайланд хариулт биш. Халдагч эх сурвалжийг сольж, тус бүр бага оролдлого авч, бүртгэл хэзээ ч тоологдохгүй. Харин ч эх сурвалжийн хяналтгүй түгжилт нь халдагчид санаатайгаар бүтэлгүйтэж бүртгэлийг хязгааргүй түгжигдүүлэх боломж олгоно.

Хоёр хяналтад сэргээх түүх нь өөр. Хаяг хориглох нь хэн ч бодох шаардлагагүй таймерт дуусна; бүртгэл түгжихэд администратор, бичигдсэн хүлээх хугацаа эсвэл өөрөө сэргээх шаардлагатай байж болно.

Аль хэдийн тоотой агуулахыг ол

Ямар нэгэн зүйл нэмэхийн өмнө алдааны агуулах байгаа эсэхийг тогтоо. Орон нутгийн Linux бүртгэл, лавлах үйлчилгээ, гадаад таних тэмдгийн нийлүүлэгч тус бүр өөрийн тоог хадгалдаг бөгөөд тэдний өмнө тавьсан PAM модуль эхнийхийг өргөжүүлэхийн оронд хоёр дахьыг үүсгэдэг.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

VPN-ийн үнэхээр нэрлэсэн үйлчилгээний файлыг уншиж, түүний оруулах мөрүүдийг дага. Олон түгээлтэд VPN үйлчилгээ нийтлэг файлыг оруулдаг нь таны тохируулж буй тоо SSH болон орон нутгийн нэвтрэлтэд ч хамаарна гэсэн үг.

Хэрэв лавлах аль хэдийн түгжилт хэрэгжүүлдэг бол ашигтай асуулт нь PAM яриа тэр шийдвэрт хэрхэн хүрч, VPN үүнийг хэрхэн мэдээлдэг вэ гэдэг. Дээр нэмсэн орон нутгийн тоо лавлахын тоолуур болохгүй бөгөөд хоёр бодлого бүртгэл хэзээ нээгдэх талаар санал нийлэхгүй байж болно.

pam_faillock нэг биш, гурван дуудлагын байрлалтай

Модуль нэг хуулсан мөр бүдгэрүүлдэг гурван үйлдлийг ялгадаг: бүртгэл аль хэдийн түгжигдсэн эсэхийг шалгах, алдааг бүртгэх, амжилтын дараа түүхийг цэвэрлэх.

Хуучин тоолуурын модулиас шилжихэд энд ихэвчлэн алдаа гардаг. Ажиллаж буй pam_tally2 жишээний мөрийг pam_faillock стек рүү хуулах нь нэр солих биш; бичигдсэн тохиргоо өөр бөгөөд буруу газар тавьсан дуудлага алдааг хэзээ ч шалгахгүйгээр бүртгэж болно.

faillock --user alice
faillock --user alice --reset

Шалгах хэрэгсэл нь тоолуур бодит эсэхийг харах хамгийн хурдан арга: бүртгэлийн бичигдсэн алдааг харуулж, тэдгээрийг устгаж чадна. Хэрэв хяналттай алдаа тэр гаралтыг өөрчлөхгүй бол дуудлагын байрлал буруу.

Тусгай үйлчилгээний нэр тусгаарлалт биш

VPN-д өөрийн PAM үйлчилгээний файлыг өгөх нь зорьсон бодлогыг харагдуулна, гэхдээ нөлөөг хязгаарлахгүй. Нийтлэг файлыг оруулах нь тэр файлын хийдэг бүхнийг, бүх системд хамаарах тоог ч авчирна.

Түгжилт зөвхөн VPN нэвтрэлтийг хамарч байгаа эсэх, эсвэл ижил бүртгэлийг баталгаажуулдаг бүх үйлчилгээг хамарч байгаа эсэхийг тодорхой шийд. Хоёр хариулт хамгаалагдана; алдаа нь нэгийг сонгосон гэж итгэх ба стек нөгөөг хэрэгжүүлэх явдал.

Дараа нь зардлыг бод. Түгжилтийг халдагч үүсгэж болох бөгөөд зовлон амсах хэрэглэгч нь бүртгэлийн эзэн. Босго, хүлээх хугацаа, захиргааны сэргээх зам нь бодлогын хэсэг бөгөөд сэргээх нь ослын үед VPN-ийг дахин тохируулахаас хамаарах ёсгүй.

Дарааллыг хүлээж ав, нэг татгалзлыг биш

Зөвшөөрөгдсөн төлөвлөгөөний дагуу томилогдсон таних тэмдгээр туршиж, нэг үйл явдал биш гинжийг турш: хүчинтэй бүртгэл баталгаажина, санаатай буруу нууц үг тоолуурыг хөдөлгөнө, тохируулсан түгжилт хүчин төгөлдөр болно, бичигдсэн сэргээлт нэвтрэлтийг буцаана.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Амжилтын зан төлөвийг алдааны адил анхааралтай ажигла. Хэрэв амжилттай нэвтрэлт түүхийг цэвэрлэхгүй бол бүртгэл энгийн алдааны удаан хуримтлалын дараа түгжигдэнэ. Хэрэв бүх үйлчилгээнээс бүгдийг цэвэрлэвэл тоолуур бодлогын хэлснээс сул.

Эцэст нь ялалт зарлахаас өмнө хяналтгүй клиентүүдийг зогсоо. Хадгалсан нэвтрэх мэдээлэл арын дэвсгэрт дахин оролдож, сэргээлтээс хэдэн минутын дараа алдааг дахин үүсгэж, бүртгэлийг дахин түгжинэ. Эх сурвалжид суурилсан хурдны хязгаарлалт нэмэлт хяналт хэвээр үлдэж болно, гэхдээ энэ нь бүртгэлийн бодлого биш.