Kvifor redigering av ei .ovpn-fil ikkje kan slå på MFA på tenaren

Du legg til auth-user-pass i ein profil, koplar til på nytt, og klienten ber om eit brukarnamn og eit passord. Det ser ut som MFA er på. Så skriv du inn ein kode frå feil konto, eller ein kode som gjekk ut for ti minutt sidan, og tunnelen kjem likevel opp. Det er symptomet: klienten endra seg, tenaren gjorde det ikkje. Eit eingongspassord er berre ein faktor når ein stadfestar på tenaren avgjer om det er gyldig for identiteten som krev det.

Førespurnaden provar berre at klienten spurde, ikkje meir

Ei .ovpn-fil er eit dokument på klientsida. Ho kan seie til klienten at han skal be om påloggingsinformasjon, bufre han eller slutte å bufre han. Ho kan ikkje registrere ein brukar, installere ein PAM-modul eller få tenaren til å krevje ein annan faktor som han ikkje sjekkar i dag.

Det skapar heller ikkje høvet å installere ein autentiseringsapp på ein telefon. Google Authenticator PAM-prosjektet er ein OTP-stadfestingskomponent som kan sitje bak OpenVPN; det er ikkje ein måte å lime Google-kontopålogging på ein importert profil.

Registrering er den delen ein profil ikkje klarar

TOTP treng registreringsmateriale som blir delt mellom autentiseringsappen og stadfestaren. Dei seks sifra på telefonen er utdata; frøet bak dei er hemmelegheita, og det høyrer til éin identitet.

Difor treng operatøren ein registreringsprosess som bind det rette frøet til den rette VPN-identiteten, pluss ein stadfesta erstatningsveg for ein misten telefon. Når brukarar sjølve kan laste opp ei fil oppkalla etter seg, blir registrering eit høve til kontoovertaking, og kryptering av opplastinga endrar ikkje det.

Ei PAM-basert utforming treng ikkje opprette ein eigen Unix-konto per VPN-brukar. Moduldokumentasjonen støttar alternative hemmelege stigar og ein dedikert konto for filtilgang, som er ein filsystemidentitet og ikkje påloggingsidentiteten som blir stadfesta.

Den vanlege feilen er ein fast hemmeleg stig som endar på eitt brukarnamn, kopiert frå eit døme med éin brukar. Det er ein demonstrasjon av éin identitet, ikkje eit oppslag per brukar, og å bruke han for kvar førespurnad gjev ingen ein sjølvstendig registrert autentiseringsapp. Skriv ned identitetstildelinga, vern frøfilene og hald passord-, sertifikat- og kontokontrollane i same autentiseringsstakk.

Les PAM-stakken for å sjå kva som faktisk blir kravd

Ei linje som account required pam_permit.so implementerer ikkje kontorett og legg ikkje til ein faktor. Ho tillèt det PAM-kontoadministrasjonstrinnet, som er ei utsegn om eit trinn og ikkje om brukarane dine.

Det same gjeld lemfeldige registreringsval. Å godta brukarar utan eit registrert frø kan vere eit medvite utrullingsval, men det er ikkje prov for at MFA er obligatorisk, og det bør skrivast ned som eit mellombels unntak med ein sluttdato.

Tilpass samhandlinga til klienten til utforminga av tenaren

auth-user-pass

Det direktivet ber om brukarnamn og passord. Det konfigurerer ikkje PAM, opprettar ikkje ein registreringspost og fortel ikkje tenaren at passordfeltet inneheld ein TOTP-verdi. Tenarintegrasjonen og klienten må bli samde om ei samhandling som utrulleringa faktisk støttar: ei utfordring, eit dokumentert kombinert påloggingsformat eller ein produktspesifikk flyt.

Ikkje legg til ein kode i passordet berre fordi klienten viser eitt felt. Det verkar berre der programtillegget til tenaren ventar nøyaktig det formatet, og det mislykkast forvirrande alle andre stader.

Hald frø og QR-materiale unna delte profilar og rutinemessige diagnostiske loggar. Ein kode send over den autentiserte påloggingskanalen er ikkje same objektet som frøet som vart delt ut under kontrollert registrering, og å blande dei i ein støttebillett er måten hemmelegheiter slepp ut.

Gjenoppkoplingar, token og testen som avgjer saka

Planlegg kva som skjer etter den første vellukka pålogginga. Ein kode som vart godteken tidlegare kan vere utlopen eller avvist som ein gjentaking ved neste autentisering. auth-nocache styrer oppbevaring av påloggingsinformasjon og installerer ikkje MFA, og reneg-sec 0 er ikkje ein definisjon av TOTP-støtte, uansett kor ofte han dukkar opp i forumtrådar.

Nokre utrulleringar gjev ut autentiseringstoken etter den første kontrollen, slik at gjenoppkoplingar ikkje spør igjen. Det er eit designval med sitt eige gyldigheitsvindauge og si eiga tilbakekallingshistorie, ikkje ein standardverdi du arvar.

Test deretter tilgangspolitikken med klienten folk faktisk brukar. Ein registrert brukar med rett passord, sertifikat og gjeldande kode bør kunne kople til. Ein feil kode, ein brukar utan registrering og ein forboden konto bør kvar for seg mislykkast, og årsaka bør vere synleg i tenarloggen. Inntil du har sett dei avvisingane, har du ein førespurnad, ikkje ein politikk.