OpenVPN-ийн LDAP баталгаажуулалт ажиллаж байгаа ч бүлгийн шалгалт бүтэлгүйтэж байна: хаанаас харах вэ

Баталгаажуулалт дамжиж болох ч бүлгийн шалгалт бүгдийг татгалзаж байна. Authorization блок, гишүүнчлэлийн шинж чанар, каталогийн төгсгөлийн цэгийг ээлжлэн шалгаарай.

Нэвтрэх мэдээлэл дамжиж, туннель өргөжиж эхэлсний дараа сесс нууц үгийн тухай биш, бүлгийн тухай мэдэгдлээр бүтэлгүйтдэг. Энэ хослол алдааг LDAP залгаасын ажлын хоёр дахь хагаст байрлуулна: холболт ба нууц үгийн шалгалт амжилттай болсон бөгөөд дараагийн гишүүнчлэлийн шийдвэр болсонгүй. Хоёр хагас нь нэг тохиргооны блокоос уншдаг тул нэг газарт хийсэн засвар нөгөөг хөндөхгүй үлдээж болно. Алхамыг нэрлэсэн бүртгэлийн мөрөөс эхэл, санамсаргүйгээр туршиж буй бүртгэлээс биш.

Татгалзлыг зөвшөөрлийн хариулт гэж үзээрэй

Залгаас үйлчилгээний холболт хийж, бүртгэлийг хайж, өгөгдсөн нууц үгийг шалгаад, дараа нь тухайн бүртгэл зөвшөөрөгдсөн бүлэгт хамаарах эсэхийг асууна. Эдгээр нь дөрвөн тусдаа үйлдэл бөгөөд зөвхөн сүүлийнх нь бүлгүүдийн тухай. Тиймээс амжилттай холболтын дараа ирэх татгалзал нууц үгийн талаар юу ч хэлэхгүй, клиент ерөнхий баталгаажуулалтын алдаа харуулж байсан ч. Тохиргоог өөрчлөхийн өмнө залгаасын бүртгэлийн түвшинг өсгөх нь гаралт дээр тэдгээр дөрвийг ялгадаг.

Бүлгийн үнэлгээг өөрөө хай. Бүлгийн асуулга огт гарч ирэхгүй бол зөвшөөрлийн блокт хүрэхгүй бөгөөд энэ нь ихэвчлэн заавар нь түүнийг эзэмшдэг блокоос гадуур байна эсвэл заавал шаардлагатай сонголт дутуу байна гэсэн үг. Асуулга гарч ирээд юу ч буцаахгүй бол төгсгөлийн цэг эсвэл шүүлтүүр таны бодсоноос өөр асуултад хариулж байна.

Гишүүнчлэл шүүлтүүрт эсвэл бүлгийн блокт амьдардаг эсэхийг шийдээрэй

Дэмжигдсэн хоёр хэлбэр байдаг бөгөөд тэдгээрийг холих нь ажиллаж байсан тохиргоо ажиллахаа болих зам юм. Эхнийх нь хэрэглэгчийн объект дээрх шинж чанарыг асууж гишүүнчлэлийг хэрэглэгчийн хайлт руу түлхдэг; хоёр дахь нь хэрэглэгчийн хайлтыг хэвээр үлдээж, залгаасыг дараа нь бүлгийн объектыг хайхыг зөвшөөрдөг. Багц бүрт нэгийг сонгож, алийг нь сонгосноо бичээрэй.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(&(sAMAccountName=%u)(memberOf=CN=VPN Access,OU=Groups,DC=example,DC=org))"
    RequireGroup false
</Authorization>

Тэр хэлбэрт бүхнийг шүүлтүүр шийддэг тул RequireGroup false байх ёстой, эс бөгөөс залгаас шүүлтүүр хэзээ ч дурдаагүй бүлгийн объектыг хайж гарна. Шүүлтүүр дэх шинж чанар хэрэглэгчийн объект дээр байх ёстой бөгөөд бөглөгдсөн байх ёстой, бүлгүүд үүрлэсэн үед энэ нь баталгаатахгүй.

Нөгөө хэлбэр хайлтыг энгийн байлгаж, дараа нь бүлгийн хайлт нэмдэг. Бүлгийн объектыг тодорхой нэрлэдэг бөгөөд залгаас хэрэглэгчийг каталог түүнд буцааж өгдөг гишүүдтэй харьцуулна. Хэрэглэгчийн шүүлтүүрт юу ч өөрчлөгдөхгүй бөгөөд энэ нь бүлгийг өөр баг удирдаж байх үед энэ хэлбэрийг шалгахад хялбар болгодог.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(sAMAccountName=%u)"
    RequireGroup true
    Group        "CN=VPN Access,OU=Groups,DC=example,DC=org"
</Authorization>

Сохор цэг нь нийтлэг: энгийн гишүүнчлэлийн харьцуулалт үүрлэсэн бүлгүүдийг задлахгүй тул эцэг бүлгээр дамжсан хандалттай бүртгэл бүтэлгүйтдэг бол консол гишүүнчлэлийг хараахан харуулж байна. Active Directory бүлэг дээр member-г ил гаргадаг, бусад схемүүд uniqueMember-г ашигладаг, буруу шинж чанар руу заахад алдааны оронд хоосон үр дүн буцдаг.

Бүлгийн объектыг агуулсан төгсгөлийн цэгийг сонго

URL нь залгаас аль каталогаас асуухыг шийддэг бөгөөд 389 порт дээрх домэйн хянагч зөвхөн өөрийн нэрийн контекстэд хариулдаг. 3268 порт дээрх дэлхийн каталог бүх ойд хариулдаг, зөвхөн унших горимд, хэсэгчилсэн шинж чанарын багцтай. Бүртгэлүүд нэг домэйнд, VPN бүлэг нөгөөд байвал нэг домэйны асуулга хэрэглэгчийг олсон ч гишүүнчлэлийг алдаж болно. URL-ыг каталогийн порт руу зөөх нь татгалзлыг шийддэг тохиолдол энэ бөгөөд хүмүүс хэт ерөнхийлдөг тохиолдол ч энэ.

Хэсэгчилсэн шинж чанарын багц бол хязгаар: каталог агуулаагүй шинж чанараар шүүх боломжгүй тул ижил өөрчлөлт нэг байршуулалтыг ажиллуулж, нөгөөг нь юу ч буцаахгүй болгож болно. Блокыг дахин бичихийн өмнө бодит хэрэглэгч, бүлэгт төгсгөлийн цэг үнэхээр юу буцааж байгааг батал. Дамжуулалт ба TLS дахин тусдаа асуудал, учир нь дамжуулалтыг дагах шаардлагатай бөгөөд TLS шаарддаг төгсгөлийн цэгт тохирох итгэлцлийн файлууд хэрэгтэй.

Бүртгэлийн төлөв ба хайлтын хүрээг өөрийн талбарт байлга

Идэвхгүй болгох туг шүүлтүүрт хамаарна, бүлгийн шалгалтад биш. Active Directory-д энэ нь userAccountControl-ийн хоёр дахь бит бөгөөд тэр нөхцөлгүйгээр хүчинтэй нууц үгтэй идэвхгүй бүртгэл баталгаажиж, дараа нь бүлгийн алхамд бүтэлгүйтдэг, энэ нь зөвшөөрлийн алдаа мэт харагддаг. Хайлтын хүрээ үндсэн DN-д хамаарна, учир нь домэйны үндэснээс эхлэх нь удаан бөгөөд хамрахыг зорьсон байгууллагын нэгжээс гадуурх объектуудтай таарч болно.

Холболтын бүртгэлийн эрхийг ч нарийн байлга. Өргөн каталогийн эрх нь буруу тохируулсан шүүлтүүрийг амжилттай асуулга болгож, хэн нэгэн бүртгэлийг аудитлах хүртэл алдааг нуудаг. Гишүүнчлэлийг каталог дотроос өөрчил, хэзээ ч орон нутгийн үл хамаарах жагсаалтад биш, ингэснээр хандалтыг авахад бүртгэлийг идэвхгүй болгох нь хангалттай болно. Бүлгийг өөр баг удирдаж байгаа бол түүн дээр шүүлтүүр бичихийн өмнө тэдний бөглөдөг шинж чанарын талаар тохироорой.

Үр дүнг гурван бүртгэлээр батал

Тохиргоог гурван таних тэмдэг дээр ажиллуул: зөвшөөрөгдсөн гишүүн, бүлгээс гадуурх хүчинтэй бүртгэл, идэвхгүй болгосон бүртгэл. Гурвуулаа татгалзагдвал холболт эсвэл бүлгийн асуулга эвдэрсэн; гурвуулаа хүлээн авагдвал бүлгийн нөхцөл огт хэрэгжихгүй байна. Холимог үр дүн л тохиргоо танд чухал тохиолдлуудыг ялгаж байгааг нотолно.

Залгаасыг буруутгахын өмнө тэдгээр гурван хариултыг каталогаас шууд унш. Эхний асуулга шүүлтүүр хамаарах бүлгийн шинж чанарыг, хоёр дахь нь бүртгэлийн хяналтын утгыг харуулна. Өөрийн үндсэн DN, бүртгэл, төгсгөлийн цэгээр соль:

ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=alice)" memberOf
ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=bob)" userAccountControl

memberOf хоосон буцаж ирдэг хэрэглэгч бол каталогийн баримт, залгаасын алдаа биш, идэвхгүй болгосны дараа ч баталгаажиж байгаа бүртгэл нь шүүлтүүрт бүртгэлийн хяналтын нөхцөл дутуу байгааг илтгэнэ. Эхлээд тэр нотолгоог засаад, дараа нь гурван бүртгэлийн тестийг дахин ажиллуул. Бүтэлгүйтсэн алхмыг нэрлэсэн бүртгэлийн мөрийг тохиргооны өөрчлөлтийн дэргэд үлдээ, дараагийн хүн хайлтыг давтахгүйгээр зөвшөөрөл ба баталгаажуулалтыг ялгаж чадна.

Холбоотой нийтлэлүүд