Illimita d-dħul tal-OpenVPN għal grupp wieħed bi pjan PAM

Ħalli kull kont kapaċi jidħol b'mod normali, imma ħalli biss grupp wieħed juża l-VPN. PAM jista' jesprimi dik id-differenza mingħajr maħżen ieħor tal-passwords, u l-plugin OpenVPN jista' jiġi dirett lejn servizz li fih biss il-kontrolli li beħsiebek. L-għaqal huwa li tibni dak is-servizz mingħajr ma tintiret b'mod aċċidentali munzell fil-livell tas-sistema.

Il-mixja hawn tibda min-numru tas-servizz tal-plugin, tibni pjan, u mbagħad tittestja t-tliet eżiti li jimpurtaw: membru, barrani b'password validu u kredenzjali tad-dnub.

Għaliex servizz PAM separat

Il-plugin auth-pam jieħu isem tas-servizz bħala l-argument tiegħu. Dak l-isem jagħżel fajl taħt /etc/pam.d, u l-munzell f'dak il-fajl huwa dak li jiġi eżegwit waqt dħul VPN. Jekk tgħaddi l-istess isem li juża dħul fil-livell tas-sistema, tintiret kull deċiżjoni f'dak il-munzell, inklużi dawk miżjuda aktar tard għal raġunijiet mhux relatati.

Iċċekken servizz iddedikat minflok. Ibda minn munzell li jaħdem li diġà jawtentika kontra l-backend mahsub, bħal fajl tal-passwords lokali, SSSD jew servizz tad-direttorju, u mbagħad żid ir-regola tal-eliġibilità. L-ikkupjar ta' żewġ linji f'fajl vojt huwa l-iżball komuni: l-iskadenza tal-password, l-illokkjar tal-kont u kontrolli oħra jistgħu jgħixu fil-munzell li ma kkupjajtx.

Is-separazzjoni tas-servizz tillimita wkoll l-ambitu tal-ħsara. Regola tal-VPN biss f'munzell maqsum tista' tiċħad aċċess SSH jew console lil kulħadd, li tbiddel bidla fl-aċċess f'waqfa.

Kif tikteb ir-regola tal-grupp

Il-kontroll tal-eliġibilità jaqa' fil-fażi tal-kont, wara li l-kredenzjali tiġi vverifikata. Regola bħal account required pam_succeed_if.so user ingroup vpnusers tħalli l-ipproċessar ikompli biss meta l-utent awtentikat ikun membru ta' dak il-grupp.

Dik il-linja hija framment, mhux servizz sħiħ. Integraha fejn tasal kull triq aċċettata, u ċċekkja l-bnadar tal-kontroll madwarha. Kontroll sufficient jew qbiż aktar kmieni fil-munzell jista' jtemm l-ipproċessar qabel ma taħdem ir-regola tiegħek, li jbiddel ir-restrizzjoni f'suġġeriment.

Tżidx use_uid bil-vizzju. Mingħajru l-modulu jevalwa l-utent li qed jiġi awtentikat; miegħu l-modulu jevalwa l-kont li taħtu jaħdem il-proċess OpenVPN, li normalment huwa root jew kont tas-servizz u għalhekk mhux il-persuna li qed tidħol.

L-appartenenza fil-grupp tiġi mir-riżoluzzjoni tal-identità tas-sistema, mhux minn isem li tagħraf. Għall-utenti tad-direttorju, ikkonferma li l-istess backend iwieġeb il-mistoqsijiet tal-grupp għal dak l-utent, għax grupp lokali b'isem familjari huwa oġġett differenti mill-grupp tad-direttorju bl-istess isem.

Nases tal-ordni u tal-identità

Qiegħed ir-regola tal-grupp wara l-munzell tal-awtentikazzjoni u wara kull kontroll li xorta għandu japplika, imma qabel jew maġenb il-kontrolli tal-kont li żżomm. PAM jevalwa l-moduli fl-ordni tal-fajl, u l-valur tal-kontroll fuq kull linja jiddeċiedi jekk falliment huwiex finali.

Oqgħod attent għal munzelli doppji. Xejra komuni hija include li diġà fih regola tal-kont, segwita mir-regola tal-grupp tiegħek, li tipproduċi żewġ deċiżjonijiet fejn kont tistenna waħda. Aqra l-fajl inkluż, mhux biss dak li editjajt. Mod mgħaġġel kif tara l-ordni effettiva huwa li taqra l-fajl minn fuq għal isfel u tinnota kull valur tal-kontroll.

Żomm ir-rekwiżiti l-oħra tad-dħul intatti. Password korretta ma tissostitwix l-kontrolli taċ-ċertifikat, it-tieni fattur jew l-awtorizzazzjoni wara l-konnessjoni, u dan il-pjan mhuwiex sostitut għal xi waħda minnhom. Huwa jiddeċiedi biss jekk il-kont huwiex eliġibbli biex jiġi kkunsidrat għall-aċċess VPN.

L-ittestjar ta' membri, barranin u passwords ħżiena

Ittestja tliet każijiet qabel ma tqis il-pjan lest. Membru jikkonnettja b'suċċess. Kont validu barra mill-grupp jawtentika l-password tiegħu imma jiġi miċħud l-aċċess VPN. Password ħażina għal xi wieħed mill-kontijiet tiġi miċħuda fl-istadju tal-awtentikazzjoni, mhux mir-regola tal-grupp.

Ħares lejn l-iżball viżibbli għall-klijent u l-log tas-server flimkien, għax iż-żewġ fallimenti jistgħu jidhru simili għall-persuna li qed tikkonnettja. Id-distinzjoni hija importanti għall-appoġġ: barrani b'password korretta jeħtieġ bidla fil-grupp, filwaqt li password ħażina teħtieġ reset tal-kredenzjali.

Żomm it-tieni sessjoni miftuħa waqt li tkun qed teditja PAM, u vverifika wkoll id-dħul SSH ordinarju wara l-bidla. Il-punt tas-servizz iddedikat huwa li d-dħul tas-sistema għandu jibqa' mhux affettwat, u l-uniku mod kif tkun taf huwa li ttestjah.

Jekk xi ħaġa tinqasam, irrestawra l-fajl tas-servizz preċedenti minn kopja. Ir-regola li trid hija sempliċi biex tingħad: l-appartenenza tagħmel kont eliġibbli għall-aċċess VPN, u kull kontroll ieħor meħtieġ għadu japplika.