PAM नीतिसँग OpenVPN लगइनहरू एउटै समूहमा सीमित गर्नुहोस्

हरेक खातालाई सामान्य रूपमा लगइन गर्न सक्षम राख्नुहोस्, तर एउटै समूहलाई मात्र VPN प्रयोग गर्न अनुमति दिनुहोस्। PAM दोस्रो पासवर्ड भण्डार बिना त्यो भिन्नता व्यक्त गर्न सक्छ, र OpenVPN प्लगइनलाई तपाईंले चाहेका जाँचहरू मात्र समावेश गर्ने सेवामा निर्देशित गर्न सकिन्छ। चाल भनेको त्यो सेवा प्रणाली-व्यापी स्ट्याक अनजानमा नपाउने गरी बनाउनु हो।

यहाँको यात्रा प्लगइनको सेवा नामबाट सुरु हुन्छ, नीति बनाउँछ र त्यसपछि तीन महत्त्वपूर्ण नतिजाहरू जाँच्छ: सदस्य, वैध पासवर्ड भएको बाहिरी व्यक्ति र खराब प्रमाणहरू।

किन छुट्टै PAM सेवा

auth-pam प्लगइनले आफ्नो आर्गुमेन्टको रूपमा सेवा नाम लिन्छ। त्यो नामले /etc/pam.d मुनिको फाइल छान्छ, र त्यो फाइलको स्ट्याक VPN लगइनका क्रममा चल्ने हो। यदि तपाईंले प्रणाली-व्यापी लगइनले प्रयोग गर्ने त्यही नाम दिनुभयो भने, त्यो स्ट्याकका हरेक निर्णय तपाईंले पाउनुहुन्छ, पछि असम्बन्धित कारणले थपिएकाहरू पनि।

त्यसको सट्टा छुट्टै सेवा बनाउनुहोस्। लक्षित backend विरुद्ध पहिले नै प्रमाणीकरण गर्ने कार्यरत स्ट्याकबाट सुरु गर्नुहोस्, जस्तै स्थानीय पासवर्ड फाइल, SSSD वा डाइरेक्टरी सेवा, त्यसपछि योग्यता नियम थप्नुहोस्। खाली फाइलमा दुई लाइन प्रतिलिपि गर्नु सामान्य गल्ती हो: पासवर्डको म्याद सकिने, खाता लक हुने र अन्य जाँचहरू तपाईंले प्रतिलिपि नगरेको स्ट्याकमा हुन सक्छन्।

सेवा छुट्याउँदा क्षतिको दायरा पनि सीमित हुन्छ। साझा स्ट्याकमा VPN-मात्र नियमले सबैका लागि SSH वा कन्सोल पहुँच अस्वीकार गर्न सक्छ, जसले पहुँच परिवर्तनलाई अवरोध बनाउँछ।

समूहको नियम लेख्ने

योग्यता जाँच खाता चरणमा पर्छ, प्रमाण प्रमाणित भएपछि। account required pam_succeed_if.so user ingroup vpnusers जस्तो नियमले प्रमाणित प्रयोगकर्ता त्यो समूहको सदस्य भएमा मात्र प्रशोधन अगाडि बढ्न दिन्छ।

त्यो लाइन एउटा टुक्रा हो, पूर्ण सेवा होइन। प्रत्येक स्वीकृत मार्ग पुग्ने ठाउँमा यसलाई एकीकृत गर्नुहोस्, र यसको वरपरका नियन्त्रण झन्डाहरू जाँच्नुहोस्। स्ट्याकमा अगाडिको sufficient वा जम्प नियन्त्रणले तपाईंको नियम चल्नु अघि प्रशोधन अन्त्य गर्न सक्छ, जसले प्रतिबन्धलाई सुझावमा बदल्छ।

बानीले use_uid नथप्नुहोस्। त्यो बिना मोड्युलले प्रमाणित हुँदै गरेको प्रयोगकर्ताको मूल्याङ्कन गर्छ; त्यो सहित मोड्युलले OpenVPN प्रक्रिया चल्ने खाताको मूल्याङ्कन गर्छ, जो सामान्यतया root वा सेवा खाता हुन्छ र त्यसैले लगइन गर्ने व्यक्ति होइन।

समूह सदस्यता प्रणालीको पहिचान समाधानबाट आउँछ, तपाईंले चिन्ने नामबाट होइन। डाइरेक्टरी प्रयोगकर्ताहरूका लागि, त्यही backend ले त्यो प्रयोगकर्ताका समूह प्रश्नहरूको जवाफ दिन्छ भनी पुष्टि गर्नुहोस्, किनकि परिचित नाम भएको स्थानीय समूह त्यही नामको डाइरेक्टरी समूहभन्दा फरक वस्तु हो।

क्रम र पहिचानका जालहरू

समूहको नियम प्रमाणीकरण स्ट्याकपछि र अझै लागू हुनुपर्ने हरेक जाँचपछि राख्नुहोस्, तर तपाईंले राख्ने खाता जाँचहरू अघि वा तिनीहरूको छेउमा। PAM ले मोड्युलहरूलाई फाइल क्रममा मूल्याङ्कन गर्छ, र हरेक लाइनको नियन्त्रण मानले असफलता अन्तिम हो कि होइन भन्ने निर्धारण गर्छ।

दोब्बर स्ट्याकहरूबाट सावधान रहनुहोस्। सामान्य ढाँचा भनेको पहिले नै खाता नियम भएको include, त्यसपछि तपाईंको आफ्नै समूह नियम, जसले एक अपेक्षा गरिएको ठाउँमा दुई निर्णय उत्पन्न गर्छ। तपाईंले सम्पादन गरेको फाइल मात्र होइन, समावेश गरिएको फाइल पनि पढ्नुहोस्। प्रभावकारी क्रम हेर्ने छिटो तरिका भनेको फाइल माथिबाट तल पढेर हरेक नियन्त्रण मान नोट गर्नु हो।

अन्य प्रवेश आवश्यकताहरू अक्षुण्ण राख्नुहोस्। सफल पासवर्डले प्रमाणपत्र जाँच, दोस्रो कारक वा जडानपछिको अधिकार जस्ता कुराको प्रतिस्थापन गर्दैन, र यो नीति तीमध्ये कुनैको विकल्प होइन। यसले खाता VPN पहुँचका लागि विचार गर्न योग्य छ कि छैन मात्र निर्धारण गर्छ।

सदस्य, बाहिरी र गलत पासवर्ड जाँच्ने

नीतिलाई पूर्ण मान्नु अघि तीन अवस्था जाँच्नुहोस्। सदस्य सफलतापूर्वक जोडिन्छ। समूहबाहिरको वैध खाताले आफ्नो पासवर्ड प्रमाणित गर्छ तर VPN पहुँच अस्वीकार गरिन्छ। कुनै पनि खाताको गलत पासवर्ड प्रमाणीकरण चरणमा अस्वीकार गरिन्छ, समूह नियमले होइन।

क्लाइन्टलाई देखिने त्रुटि र सर्भर लग सँगै हेर्नुहोस्, किनकि जोडिने व्यक्तिलाई दुवै असफलता उस्तै देखिन सक्छ। समर्थनका लागि भिन्नता महत्त्वपूर्ण छ: सही पासवर्ड भएको बाहिरी व्यक्तिलाई समूह परिवर्तन चाहिन्छ, जबकि गलत पासवर्डलाई प्रमाण रिसेट चाहिन्छ।

PAM सम्पादन गर्दा दोस्रो सत्र खुला राख्नुहोस्, र परिवर्तनपछि सामान्य SSH लगइन पनि प्रमाणित गर्नुहोस्। समर्पित सेवाको उद्देश्य प्रणाली लगइन अप्रभावित रहनुपर्ने हो, र त्यो जान्ने एकमात्र तरिका यसलाई जाँच्नु हो।

केही बिग्रियो भने प्रतिलिपिबाट अघिल्लो सेवा फाइल पुनर्स्थापित गर्नुहोस्। तपाईंले चाहेको नियम भन्न सजिलो छ: सदस्यताले खातालाई VPN पहुँचका लागि योग्य बनाउँछ, र अन्य हरेक आवश्यक जाँच अझै लागू हुन्छ।