Konnessjoni ta' RADIUS ma' OpenVPN: plugin jew ganċ tal-iskript?

Il-plugin għadu jiġi rakkomandat fi ħjut eqdem mill-bini attwali, u jonqos meta jiġi mgħobbi fuq server ikkompilat ilbieraħ. Dan mhuwiex żball ta' konfigurazzjoni li tista' ssewwih b'pass. Il-plugin u l-ganċ tal-iskript isolvu l-istess problema f'saffi differenti, u l-moviment minn wieħed għall-ieħor ibiddel x'għandu jiġi installat, x'jaħdem bi privileġġi tas-server, u x'jgħidlek tassew login fallut.

Il-mit: il-plugin huwa l-passa appoġġjata

Plugin huwa oġġett kondiviż li jiġi mgħobbi fil-proċess ta' OpenVPN, għalhekk irid jaqbel mal-interface li dak il-proċess jesponi. Il-bini jinbidel, l-ippakkjar jinbidel, u librerija kkompilata għal interface eqdem sempliċement tirrifjuta li tgħabbi. Xejn fil-konfigurazzjoni tas-server ma jista' jaqsam dak il-vojt, għalhekk il-parir "sempliċement installa radiusplugin" jispiċċa b'server li ma jibdiex.

Il-ganċ tal-iskript minflok jinsab barra l-proċess. OpenVPN iħaddem programm, jagħtih il-kredenzjali u jaqra verdet lura. Dik id-diviżjoni hija dik li tħallih jgħaddi mill-aġġornamenti, u hija wkoll dik li tagħmilha r-responsabbiltà tiegħek b'mod li l-plugin qatt ma kien.

L-ebda approċċ mhu aktar sikur bil-kostruzzjoni. Wieħed iħaddem kodi barrani ġewwa d-daemon; l-ieħor iħaddem il-kodiċi tiegħek ħdejh bil-kredenzjali f'idejk. Il-mistoqsija t-tajba hija liema minn dawn iż-żewġ riskji tista' tassew topera.

X'kien jorbot il-plugin flimkien

Il-plugin kien iġorr il-fajl tal-konfigurazzjoni tiegħu stess bl-host RADIUS, is-sigriet kondiviż, l-għadd ta' tentattivi u l-limitu ta' żmien, u l-konfigurazzjoni tas-server kienet tirreferi għalih b'linja waħda. L-immaniġġjar tal-kredenzjali baqa' ġewwa l-proċess tas-server, li jfisser li l-password qatt ma qasmet konfini tal-proċess li l-amministratur kellu jiżgura.

L-ispiża kienet l-irbit. Kull aġġornament ta' OpenVPN kien jirriskja interface inkumpatibbli, u kull distribuzzjoni li terġa' tibni l-pakkett kienet tirriskja li tipproduċi librerija li ma għadhiex taqbel. Meta jiġri dan, il-falliment ikun qawwi u immedjat, u din hija l-unika ħniena tad-disinn.

Jekk plugin bħal dan għadu jgħabbi fuq il-bini tiegħek, jista' jkun l-iżgħar wiċċ operattiv. Ikkonferma l-interface li għalih inbena, żommu marbut mal-bini li ttestjajt, u ttratta kull aġġornament bħala bidla li teħtieġ test sħiħ tal-login, mhux aġġornament rutina tal-pakkett.

X'jafda tassew il-ganċ tal-iskript

Il-ganċ jiġi konfigurat b'auth-user-pass-verify u mekkaniżmu ta' twassil: varjabbli tal-ambjent jew fajl temporanju. Fil-forma tal-ambjent, OpenVPN jesiġi script-security 3, il-livell dokumentat li jippermetti l-espożizzjoni tal-password lill-iskripts. Dak il-livell huwa tgħaddib intenzjonat tal-default, u għandu jiġi ttrattat bħala permess b'ġustifikazzjoni mehmuża.

Kull ma jmiss l-iskript jiret dak il-fiduċja. Irrid ikun proprjetà ta' root, mhux miktub mill-grupp jew oħrajn, referenzjat b'pass assolut, u ħieles minn kull post fejn valur mhux fiduċjuż jasal għal shell. Poġġi kull varjabbli fil-kwotazzjonijiet, warrab karattri mhux mistennija, u qatt ma tibni kmand minn isem l-utent mogħti. Skript li jaħdem bħala root f'kull tentattiv ta' login jistħoqqlu reviżjoni waħda proprju għal dawk l-erba' proprjetajiet.

ls -l /usr/local/sbin/radius-auth.sh
stat -c '%U %a' /usr/local/sbin/radius-auth.sh

Il-forma ta' twassil bil-fajl tevita l-problema tal-wirt tal-ambjent u tagħti l-kredenzjali lill-iskript permezz ta' fajl temporanju b'permessi ristretti. Jekk il-klijent tiegħek jappoġġjaha, normalment hija l-aħjar default, għalkemm iżżid oġġett ieħor x'jnaddaf fil-falliment.

Il-kodiċi tal-ħruġ jiddeċiedu jekk tfallix miftuħ

L-istat tal-ħruġ tal-iskript huwa l-verdet: żero jaċċetta, mhux żero jirrifjuta. Il-mudell li joħloq problemi huwa skript tal-shell li jaċċetta biss meta r-risposta RADIUS ikun fiha token ta' aċċettazzjoni speċifiku u jirritorna falliment għal kull ħaġa oħra, għax dan jgħaqqad tliet avvenimenti differenti f'tweġiba waħda. Password ħażina, server li ma jintlaħaqx u tweġiba difettuża jsiru kollha l-istess rifjut.

Issepara dawk il-każijiet fl-iskript anki jekk il-ganċ jista' jirritorna biss aċċetta jew jirrifjuta. Irreġistra r-riżultat tal-backend separatament, allarma dwar limiti ta' żmien u żbalji tat-trasport, u agħmilha ċara fil-monitoraġġ meta l-awtentikazzjoni tfalli għax is-servizz ma jaħdimx u mhux għax l-utenti jiktbu ħażin.

Żewġ drawwiet iżommu l-bqija sensata. Jekk RADIUS hija l-awtorità, għandha tkun l-unika post fejn tiġi ċċekkjata password, għax tabella dell toħloq żewġ tweġibiet għall-istess mistoqsija u t-tieni hija wiċċ ta' attakk li ħadd ma jħares lejh. U ftakar li l-ganċ jiġi msejjaħ mill-ġdid f'kull tentattiv, għalhekk skript bil-mod ma' klijent bla paċenzja jsir amplifikatur għall-istejjer tal-password sakemm ma żżidx dewmien jew politika fuq in-naħa tar-RADIUS.

X'titlef meta jisparixxi ċ-ċertifikat

Ħafna implimentazzjonijiet ta' din il-forma jitfu għal kollox il-verifika taċ-ċertifikat tal-klijent, u jħallu isem l-utent u password bħala l-pretensjoni kollha tal-klijent. Dak li jisparixxi b'dik is-setting hija identità bbażata fuq iċ-ċertifikat. Il-kanal jibqa' kriptat, iżda l-unika ħaġa li ssemmi l-klijent hija l-verdet tar-RADIUS. Kull ħaġa 'l isfel li qabel kienet tiddependi fuq suġġett taċ-ċertifikat issa trid tiddependi fuq isem l-utent.

Żomm il-protezzjoni tal-kanal ta' kontroll f'postha sabiex sieħeb mhux awtentikat ma jistax jispezzjona jew jgħarraq il-handshake, u uża username-as-common-name meta l-konfigurazzjoni għal kull utent tiddependi mill-isem komuni. Il-bibien immexxija ħafna drabi jsolvu dan b'mod differenti, billi jtemmu l-awtentikazzjoni taċ-ċertifikat f'bieb li jitkellem EAP-TLS ma' RADIUS, u f'dak il-każ l-ebda waħda minn dawn id-direttivi tas-server ma tapplika. Ikkopja l-mudell li tiddokumenta l-pjattaforma tiegħek stess, mhux dak ta' prodott ġar. Id-direttivi li jimpurtaw huma differenti biżżejjed li t-taħlit tagħhom jagħti konfigurazzjoni li tiġi analizzata u mbagħad ma tawtentika lil ħadd.