Яагаад .ovpn файлыг засварлах нь сервер дээрх MFA-г асааж чадахгүй вэ

Та профайлд auth-user-pass нэмж, дахин холбогдоход клиент хэрэглэгчийн нэр, нууц үг асууна. MFA асаалттай мэт харагдана. Дараа нь та буруу бүртгэлийн код эсвэл арван минутын өмнө хугацаа дууссан кодыг оруулсан ч туннель боссоор байна. Энэ бол шинж тэмдэг: клиент өөрчлөгдсөн, сервер өөрчлөгдөөгүй. Нэг удаагийн нууц үг нь сервер дээрх баталгаажуулагч түүнийг шаардаж буй таних тэмдэгт хүчинтэй эсэхийг шийдэх үед л хүчин зүйл болно.

Хүсэлт нь клиент асуусныг л нотолж байна, үүнээс илүүгүй

.ovpn файл нь клиентийн талын баримт бичиг юм. Энэ нь клиентэд итгэмжлэл шаардах, тэдгээрийг кэшлэх эсвэл кэшлэхээ зогсоохыг хэлж болно. Гэхдээ хэрэглэгчийг бүртгэх, PAM модуль суулгах, эсвэл серверийг одоо шалгадаггүй хоёр дахь хүчин зүйлийг шаардуулах боломжгүй.

Утсан дээр баталгаажуулалтын апп суулгах нь ч тэр харилцааг үүсгэхгүй. Google Authenticator PAM төсөл нь OTP баталгаажуулалтын бүрэлдэхүүн хэсэг бөгөөд OpenVPN-ийн ард зогсож болно; энэ нь Google бүртгэлийн нэвтрэлтийг импортолсон профайлд наах арга биш юм.

Бүртгэл бол профайл хийж чадахгүй хэсэг юм

TOTP-д баталгаажуулалтын апп болон түүний баталгаажуулагчийн хооронд хуваалцсан бүртгэлийн материал хэрэгтэй. Утсан дээрх зургаан орон бол гаралт; тэдний ард байгаа үр нь нууц бөгөөд нэг таних тэмдэгт хамаарна.

Тиймээс операторт зөв үрийг зөв VPN таних тэмдэгт холбосон бүртгэлийн үйл явц, мөн алдсан утсанд зориулсан баталгаажсан солих зам хэрэгтэй. Хэрэглэгчдэд өөрийн нэрээр файл байршуулахыг зөвшөөрөх нь бүртгэлийг бүртгэл булаах боломж болгон хувиргадаг бөгөөд байршуулалтыг шифрлэх нь үүнийг өөрчлөхгүй.

PAM-д суурилсан загвар нь VPN хэрэглэгч бүрт зориулж тусдаа Unix бүртгэл үүсгэх шаардлагагүй. Модулийн баримт бичиг нь өөр нууцын зам болон файлд хандах тусгай бүртгэлийг дэмждэг бөгөөд энэ нь файлын системийн таних тэмдэг бөгөөд шалгагдаж буй нэвтрэлтийн таних тэмдэг биш юм.

Нийтлэг алдаа нь нэг хэрэглэгчийн жишээнээс хуулбарласан, нэг хэрэглэгчийн нэрээр төгсдөг тогтмол нууцын зам юм. Энэ нь нэг таних тэмдгийн үзүүлбэр, хэрэглэгч тус бүрийн хайлт биш бөгөөд үүнийг хүсэлт бүрт ашиглах нь хэнд ч бие даан бүртгэгдсэн баталгаажуулалтын апп өгөхгүй. Таних тэмдгийн зураглалыг бичиж, үрийн файлуудыг хамгаалж, нууц үг, гэрчилгээ, бүртгэлийн шалгалтыг нэг баталгаажуулалтын стек дотор байлгаарай.

PAM стекийг уншиж, үнэндээ юу шаардагдаж байгааг хараарай

account required pam_permit.so шиг мөр нь бүртгэлийн эрх зүйг хэрэгжүүлэхгүй бөгөөд хүчин зүйл нэмэхгүй. Энэ нь PAM бүртгэлийн удирдлагын тэр үе шатыг зөвшөөрдөг бөгөөд энэ нь үе шатын тухай мэдэгдэл, таны хэрэглэгчдийн тухай биш.

Мөн адил зөвшөөрөмжит бүртгэлийн сонголтуудад хамаарна. Бүртгэгдсэн нууцгүй хэрэглэгчдийг хүлээн авах нь санаатай нэвтрүүлэлтийн шийдвэр байж болох ч энэ нь MFA заавал байх ёстойн нотолгоо биш бөгөөд дуусах огноотой түр хугацааны үл хамаарах зүйл гэж бичих ёстой.

Клиентийн харилцан үйлчлэлийг серверийн загварт тохируулаарай

auth-user-pass

Энэ заавар нь хэрэглэгчийн нэр, нууц үг оруулахыг шаарддаг. Энэ нь PAM-г тохируулахгүй, бүртгэлийн бичлэг үүсгэхгүй, нууц үгийн талбарт TOTP утга байгааг серверт хэлэхгүй. Серверийн интеграци болон клиент нь байршуулалт үнэндээ дэмждэг харилцан үйлчлэлийн талаар тохирох ёстой: сорилт, баримтжуулсан нэгдсэн итгэмжлэлийн формат эсвэл бүтээгдэхүүнд тусгай урсгал.

Клиент нэг талбар харуулж байгаа учраас нууц үгэнд код хавсаргах хэрэггүй. Энэ нь серверийн залгаас яг тэр форматыг хүлээж байгаа газарт л ажилладаг бөгөөд бусад бүх газарт төөрөгдүүлж бүтэлгүйтдэг.

Үр, QR материалыг хуваалцсан профайл болон өдөр тутмын оношилгооны бүртгэлээс гадуур байлгаарай. Баталгаажсан нэвтрэлтийн сувгаар ирүүлсэн код нь хяналттай бүртгэлийн үед олгосон үртэй ижил объект биш бөгөөд тэдгээрийг дэмжлэгийн тасалбарт холих нь нууц задрах зам юм.

Дахин холболт, токен болон асуудлыг шийдэх тест

Эхний амжилттай нэвтрэлтийн дараа юу болохыг төлөвлөөрэй. Өмнө нь хүлээн авсан код дараагийн баталгаажуулалтад хугацаа дууссан эсвэл давталт гэж татгалзагдаж болно. auth-nocache итгэмжлэл хадгалахыг удирддаг бөгөөд MFA суулгахгүй, reneg-sec 0 форумын сэдвүүдэд хэдэн ч удаа гарсан TOTP дэмжлэгийн тодорхойлолт биш.

Зарим байршуулалт эхний шалгалтын дараа баталгаажуулалтын токен олгодог тул дахин холболт дахин асуухгүй. Энэ нь өөрийн хүчинтэй хугацаа, цуцлалтын түүхтэй загварын шийдвэр бөгөөд та өвлөж авах өгөгдмөл утга биш юм.

Дараа нь хүмүүсийн үнэндээ ашигладаг клиентээр элсэлтийн бодлогыг туршаарай. Зөв нууц үг, гэрчилгээ, одоогийн кодтой бүртгэгдсэн хэрэглэгч холбогдох ёстой. Буруу код, бүртгэлгүй хэрэглэгч, хориглосон бүртгэл тус бүр бүтэлгүйтэх ёстой бөгөөд шалтгаан нь серверийн бүртгэлд харагдах ёстой. Тэр татгалзлуудыг харах хүртэл танд хүсэлт байна, бодлого биш.