OpenVPN PAM: login аргумент нь хэрэглэгч биш, үйлчилгээ юм

Серверт хэрэглэгч нэмэгдсэн, нууц үг зөв бичигдсэн ч холболт AUTH_FAILED-ээр дуусч байна. Ихэвчлэн шалтгааныг залгаасын мөр тайлбарладаг: залгаасын зам дараах үг нь PAM үйлчилгээний нэр бөгөөд аль модулийн бүлэг асуултад хариулахаа тэр шийддэг. Энэ нь хэрэглэгчийн нэр биш бөгөөд OpenVPN өөрөө уншдаг нууц үгийн файл руу заах зүйл ч биш.

Хоёр дахь үг юуг сонгодог вэ

Тохиргооны мөр залгаасын зам ба нэг аргументыг авдаг:

plugin /usr/lib/openvpn/plugins/openvpn-plugin-auth-pam.so openvpn

Тэр аргумент PAM сан руу үйлчилгээний нэр хэлбэрээр дамждаг тул /etc/pam.d/openvpn дэх стек ажиллана. Тэнд login гэж бичвэл оронд нь интерактив нэвтрэх бодлого үйлчилнэ, таны түгээлтэд тэр бодлого багтаасан модулиудын хамт.

Суулгасан багц өгдөг залгаасын замыг ашигла, өөр хостноос хуулсан замыг биш. Файлын нэр болон хавтас түгээлт бүрт ялгаатай бөгөөд буруу зам нь нэвтрүүлэлтийн үед биш, эхлэх үед залгаас ачаалах алдаатай бүтэлгүйтдэг.

Стек бүртгэлийг үнэндээ хаанаас уншдаг вэ

PAM бол диспетчер. Үйлчилгээний файл модулиудыг дарааллаар жагсааж, хариулах боломжтой эхнийх нь үр дүнг шийднэ. pam_unix дууддаг стек локал бүртгэлийг уншдаг; LDAP эсвэл RADIUS модуль дууддаг стек нэвтрэх мэдээллийг огт өөр газар руу илгээдэг.

Үйлчилгээний нэр задардаг файлыг, түүний оруулсан бүх зүйлийн хамт унш:

cat /etc/pam.d/openvpn
grep -H pam_ /etc/pam.d/openvpn /etc/pam.d/common-auth

Стек шийдвэрийг хавтас руу шилжүүлбэл локал бүртгэл нэмэх нь юу ч өөрчлөхгүй. Хэрэв локал бүртгэл уншдаг бол хавтаст хэрэглэгч үүсгэх нь ч юу ч өөрчлөхгүй. Бүртгэл нь стек хайдаг газарт байх ёстой бөгөөд ийм тайлангийн ихэнхдээ бүх онош энэ л байдаг.

Нэг оролдлого, хоёр бүртгэл

Нэг бүтэлгүй холболтыг хоёр талаас нь уялдуулан хар. OpenVPN-ийн бүртгэл залгаасын үр дүн болон клиентийн татгалзлыг харуулна; системийн нэвтрүүлэлтийн бүртгэл аль модуль ажиллаж, юу шийдсэнийг харуулна. Тэдгээрийг нэг цагийн цонхонд унших нь үйлчилгээний файл дутууг арын хэсгийн хугацаа хэтрэлтээс ялгадаг. Нэвтрүүлэлтийн бүртгэлд завсар байгаа нь стект огт хүрээгүй гэсэн үг.

journalctl -u openvpn-server@server --since "-2 min"
journalctl -t sshd -t sudo --since "-2 min"

VPN болон стекийг зэрэг дибаг хийхгүйн тулд үйлчилгээг PAM хэлээр ярьдаг хэрэгслээр шууд шалга. Ижил үйлчилгээний нэр, ижил бүртгэлээр шууд шалгалт амжилттай бол асуудал бүртгэлд биш, демон нэвтрэх мэдээллийг хэрхэн дамжуулдагт хүрнэ.

pamtester openvpn alice authenticate

Консол дээр ажилладаг ижил нэвтрэх мэдээллээр шууд шалгалт бүтэлгүй бол стек таны таамагласан бүртгэлийн эх сурвалжийг уншиж байгаа юм биш. Хэрэв амжилттай бол залгаасын явуулж буй яриа болон клиент үнэндээ юу илгээснийг хар. Санаатай буруу нууц үгээр бас нэг удаа ажиллуул, тэгвэл татгалзал ба модулийн алдааны ялгааг харна. Тэр хоёр үр дүн VPN-ийн бүртгэлд адилхан харагдаж, энд огт өөр.

Тусдаа үйлчилгээ нь login засахаас дээр

VPN-ийн шаардлага интерактив нэвтрэхээс ялгаатай үед, ихэвчлэн ялгаатай байдаг, түүнд өөрийн үйлчилгээний файл өг. login эсвэл common-auth засах нь тэдгээрийг оруулсан бүх програмын бодлогыг өөрчилдөг бөгөөд энэтэй холбоогүй нэвтрэх асуудлыг дибаг хийх дараагийн хүн таны өөрчлөлтийг өвлөнө.

Хэрэгтэй модулиудыг жижиг үйлчилгээний файл руу хуулж, дарааллыг тодорхой байлга, хэн эзэмшихийг тэмдэглэ. Нууц үг шинэчлэх нь үр дүнгүй мэт санагдах үед шалгах зүйл яг тэр файл.

Клиент юу илгээдэг, юу илгээдэггүй вэ

Клиент хэрэглэгчийн нэр, нууц үгийг дэмжигдсэн асуулт эсвэл файлаар дамжуулна. Серверийн залгаас тэдгээр утгыг PAM ярианд дамжуулдаг; тэр тэдгээрийг серверийн тохиргооноос уншдаггүй. Нууц үг тодорхойлж байгаа мэт харагдах серверийн талын мөр тэгдэггүй бөгөөд ямар ч профайл засвар бүртгэл үүсгэхгүй.

Хэрэглэгчийн нэр, нууц үг клиент сертификаттай зэрэг оршиж болно, PAM идэвхжүүлэх нь сертификат шалгахыг зогсоох шалтгаан биш. Байршуулалтын зорьсон давхаргыг хадгалж, бүртгэлийн эх сурвалжийг л зас.

Хүлээн авалт хоёр талтай: зорьсон бүртгэл амжилттай болж, татгалзах ёстой бүртгэл дахин бүтэлгүй болно. auth-pam залгаасын README үйлчилгээний аргумент болон түүний урд талд барьж болох арын хэсгүүдийг тайлбарладаг бөгөөд бүтээх гэж буй зохион байгуулалтаа баталгаажуулах газар нь яг тэнд.