PAM ਨੀਤੀ ਨਾਲ OpenVPN ਲੌਗਇਨਾਂ ਨੂੰ ਇੱਕ ਗਰੁੱਪ ਤੱਕ ਸੀਮਿਤ ਕਰੋ
ਸਮਰਪਿਤ PAM ਸੇਵਾ ਸਿਸਟਮ-ਵਿਆਪੀ ਲੌਗਇਨ ਨਿਯਮਾਂ ਨੂੰ ਛੂਹੇ ਬਿਨਾਂ ਸਿਰਫ਼ VPN ਗਰੁੱਪ ਦੇ ਮੈਂਬਰਾਂ ਨੂੰ ਦਾਖਲਾ ਦੇ ਸਕਦੀ ਹੈ। auth-pam ਪਲੱਗਇਨ ਨੂੰ ਉਸ ਵੱਲ ਨਿਰਦੇਸ਼ਿਤ ਕਰੋ ਅਤੇ ਨਤੀਜੇ ਜਾਂਚੋ।
ਹਰ ਖਾਤੇ ਨੂੰ ਆਮ ਤਰੀਕੇ ਨਾਲ ਲੌਗਇਨ ਕਰਨ ਦੇ ਯੋਗ ਰੱਖੋ, ਪਰ ਸਿਰਫ਼ ਇੱਕ ਗਰੁੱਪ ਨੂੰ VPN ਵਰਤਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿਓ। PAM ਦੂਜੇ ਪਾਸਵਰਡ ਭੰਡਾਰ ਤੋਂ ਬਿਨਾਂ ਉਹ ਫ਼ਰਕ ਪ੍ਰਗਟ ਕਰ ਸਕਦਾ ਹੈ, ਅਤੇ OpenVPN ਪਲੱਗਇਨ ਨੂੰ ਉਸ ਸੇਵਾ ਵੱਲ ਨਿਰਦੇਸ਼ਿਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਸਿਰਫ਼ ਤੁਹਾਡੇ ਇਰਾਦੇ ਵਾਲੀਆਂ ਜਾਂਚਾਂ ਹੋਣ। ਚਾਲ ਇਹ ਹੈ ਕਿ ਉਹ ਸੇਵਾ ਸਿਸਟਮ-ਵਿਆਪੀ ਸਟੈਕ ਨੂੰ ਅਣਜਾਣੇ ਵਿੱਚ ਵਿਰਾਸਤ ਵਿੱਚ ਲਏ ਬਿਨਾਂ ਬਣਾਈ ਜਾਵੇ।
ਇੱਥੋਂ ਦੀ ਯਾਤਰਾ ਪਲੱਗਇਨ ਦੇ ਸੇਵਾ ਨਾਮ ਤੋਂ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ, ਨੀਤੀ ਬਣਾਉਂਦੀ ਹੈ ਅਤੇ ਫਿਰ ਤਿੰਨ ਮਹੱਤਵਪੂਰਨ ਨਤੀਜੇ ਜਾਂਚਦੀ ਹੈ: ਇੱਕ ਮੈਂਬਰ, ਵੈਧ ਪਾਸਵਰਡ ਵਾਲਾ ਬਾਹਰਲਾ ਵਿਅਕਤੀ ਅਤੇ ਖ਼ਰਾਬ ਪ੍ਰਮਾਣ।
ਵੱਖਰੀ PAM ਸੇਵਾ ਕਿਉਂ
auth-pam ਪਲੱਗਇਨ ਆਪਣੇ ਆਰਗਿਊਮੈਂਟ ਵਜੋਂ ਸੇਵਾ ਨਾਮ ਲੈਂਦਾ ਹੈ। ਉਹ ਨਾਮ /etc/pam.d ਹੇਠ ਇੱਕ ਫ਼ਾਈਲ ਚੁਣਦਾ ਹੈ, ਅਤੇ ਉਸ ਫ਼ਾਈਲ ਦਾ ਸਟੈਕ ਹੀ VPN ਲੌਗਇਨ ਦੌਰਾਨ ਚੱਲਦਾ ਹੈ। ਜੇ ਤੁਸੀਂ ਉਹੀ ਨਾਮ ਦਿਓ ਜੋ ਸਿਸਟਮ-ਵਿਆਪੀ ਲੌਗਇਨ ਵਰਤਦਾ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਉਸ ਸਟੈਕ ਦੇ ਹਰ ਫ਼ੈਸਲੇ ਦੀ ਵਿਰਾਸਤ ਲੈਂਦੇ ਹੋ, ਜੋ ਬਾਅਦ ਵਿੱਚ ਅਸੰਬੰਧਿਤ ਕਾਰਨਾਂ ਕਰਕੇ ਜੋੜੇ ਗਏ ਹਨ।
ਇਸ ਦੀ ਥਾਂ ਸਮਰਪਿਤ ਸੇਵਾ ਬਣਾਓ। ਪਹਿਲਾਂ ਤੋਂ ਹੀ ਲਕਸ਼ਿਤ backend ਵਿਰੁੱਧ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਵਾਲੇ ਕੰਮ ਕਰਦੇ ਸਟੈਕ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ, ਜਿਵੇਂ ਸਥਾਨਕ ਪਾਸਵਰਡ ਫ਼ਾਈਲ, SSSD ਜਾਂ ਡਾਇਰੈਕਟਰੀ ਸੇਵਾ, ਫਿਰ ਯੋਗਤਾ ਨਿਯਮ ਜੋੜੋ। ਖਾਲੀ ਫ਼ਾਈਲ ਵਿੱਚ ਦੋ ਲਾਈਨਾਂ ਕਾਪੀ ਕਰਨਾ ਆਮ ਗਲਤੀ ਹੈ: ਪਾਸਵਰਡ ਦੀ ਮਿਆਦ ਖ਼ਤਮ ਹੋਣਾ, ਖਾਤਾ ਲਾਕ ਹੋਣਾ ਅਤੇ ਹੋਰ ਜਾਂਚਾਂ ਉਸ ਸਟੈਕ ਵਿੱਚ ਹੋ ਸਕਦੀਆਂ ਹਨ ਜੋ ਤੁਸੀਂ ਕਾਪੀ ਨਹੀਂ ਕੀਤਾ।
ਸੇਵਾ ਨੂੰ ਵੱਖ ਕਰਨਾ ਨੁਕਸਾਨ ਦਾ ਘੇਰਾ ਵੀ ਸੀਮਿਤ ਕਰਦਾ ਹੈ। ਸਾਂਝੇ ਸਟੈਕ ਵਿੱਚ ਸਿਰਫ਼-VPN ਨਿਯਮ ਸਾਰਿਆਂ ਲਈ SSH ਜਾਂ ਕੰਸੋਲ ਪਹੁੰਚ ਤੋਂ ਇਨਕਾਰ ਕਰ ਸਕਦਾ ਹੈ, ਜੋ ਪਹੁੰਚ ਬਦਲਾਅ ਨੂੰ ਰੁਕਾਵਟ ਬਣਾ ਦਿੰਦਾ ਹੈ।
ਗਰੁੱਪ ਦਾ ਨਿਯਮ ਲਿਖਣਾ
ਯੋਗਤਾ ਜਾਂਚ ਖਾਤਾ ਪੜਾਅ ਵਿੱਚ ਆਉਂਦੀ ਹੈ, ਪ੍ਰਮਾਣ ਪ੍ਰਮਾਣਿਤ ਹੋਣ ਤੋਂ ਬਾਅਦ। account required pam_succeed_if.so user ingroup vpnusers ਵਰਗਾ ਨਿਯਮ ਪ੍ਰੋਸੈਸਿੰਗ ਨੂੰ ਤਾਂ ਹੀ ਅੱਗੇ ਵਧਣ ਦਿੰਦਾ ਹੈ ਜਦੋਂ ਪ੍ਰਮਾਣਿਤ ਉਪਭੋਗਤਾ ਉਸ ਗਰੁੱਪ ਦਾ ਮੈਂਬਰ ਹੋਵੇ।
ਉਹ ਲਾਈਨ ਇੱਕ ਟੁਕੜਾ ਹੈ, ਪੂਰੀ ਸੇਵਾ ਨਹੀਂ। ਇਸ ਨੂੰ ਉੱਥੇ ਜੋੜੋ ਜਿੱਥੇ ਹਰ ਸਵੀਕ੍ਰਿਤ ਮਾਰਗ ਪਹੁੰਚਦਾ ਹੈ, ਅਤੇ ਇਸ ਦੇ ਆਲੇ-ਦੁਆਲੇ ਦੇ ਨਿਯੰਤਰਣ ਫ਼ਲੈਗ ਜਾਂਚੋ। ਸਟੈਕ ਵਿੱਚ ਪਹਿਲਾਂ ਵਾਲਾ sufficient ਜਾਂ ਜੰਪ ਨਿਯੰਤਰਣ ਤੁਹਾਡੇ ਨਿਯਮ ਦੇ ਚੱਲਣ ਤੋਂ ਪਹਿਲਾਂ ਪ੍ਰੋਸੈਸਿੰਗ ਖ਼ਤਮ ਕਰ ਸਕਦਾ ਹੈ, ਜੋ ਪਾਬੰਦੀ ਨੂੰ ਸਿਰਫ਼ ਸੁਝਾਅ ਬਣਾ ਦਿੰਦਾ ਹੈ।
ਆਦਤ ਕਾਰਨ use_uid ਨਾ ਜੋੜੋ। ਇਸ ਦੇ ਬਿਨਾਂ ਮੌਡਿਊਲ ਪ੍ਰਮਾਣਿਤ ਹੋ ਰਹੇ ਉਪਭੋਗਤਾ ਦਾ ਮੁਲਾਂਕਣ ਕਰਦਾ ਹੈ; ਇਸ ਨਾਲ ਮੌਡਿਊਲ ਉਸ ਖਾਤੇ ਦਾ ਮੁਲਾਂਕਣ ਕਰਦਾ ਹੈ ਜਿਸ ਹੇਠ OpenVPN ਪ੍ਰਕਿਰਿਆ ਚੱਲਦੀ ਹੈ, ਜੋ ਆਮ ਤੌਰ 'ਤੇ root ਜਾਂ ਸੇਵਾ ਖਾਤਾ ਹੁੰਦਾ ਹੈ ਅਤੇ ਇਸ ਲਈ ਲੌਗਇਨ ਕਰਨ ਵਾਲਾ ਵਿਅਕਤੀ ਨਹੀਂ।
ਗਰੁੱਪ ਮੈਂਬਰਸ਼ਿਪ ਸਿਸਟਮ ਦੇ ਪਛਾਣ ਹੱਲ ਤੋਂ ਆਉਂਦੀ ਹੈ, ਤੁਹਾਡੇ ਪਛਾਣੇ ਕਿਸੇ ਨਾਮ ਤੋਂ ਨਹੀਂ। ਡਾਇਰੈਕਟਰੀ ਉਪਭੋਗਤਾਵਾਂ ਲਈ, ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਉਹੀ backend ਉਸ ਉਪਭੋਗਤਾ ਦੇ ਗਰੁੱਪ ਸਵਾਲਾਂ ਦਾ ਜਵਾਬ ਦਿੰਦਾ ਹੈ, ਕਿਉਂਕਿ ਜਾਣੇ-ਪਛਾਣੇ ਨਾਮ ਵਾਲਾ ਸਥਾਨਕ ਗਰੁੱਪ ਉਸੇ ਨਾਮ ਵਾਲੇ ਡਾਇਰੈਕਟਰੀ ਗਰੁੱਪ ਤੋਂ ਵੱਖਰੀ ਵਸਤੂ ਹੈ।
ਕ੍ਰਮ ਅਤੇ ਪਛਾਣ ਦੇ ਜਾਲ
ਗਰੁੱਪ ਦਾ ਨਿਯਮ ਪ੍ਰਮਾਣੀਕਰਨ ਸਟੈਕ ਤੋਂ ਬਾਅਦ ਅਤੇ ਹਰ ਉਸ ਜਾਂਚ ਤੋਂ ਬਾਅਦ ਰੱਖੋ ਜੋ ਅਜੇ ਵੀ ਲਾਗੂ ਰਹਿਣੀ ਚਾਹੀਦੀ ਹੈ, ਪਰ ਤੁਹਾਡੇ ਰੱਖੇ ਖਾਤਾ ਜਾਂਚਾਂ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂ ਉਨ੍ਹਾਂ ਦੇ ਨਾਲ। PAM ਮੌਡਿਊਲਾਂ ਦਾ ਮੁਲਾਂਕਣ ਫ਼ਾਈਲ ਕ੍ਰਮ ਵਿੱਚ ਕਰਦਾ ਹੈ, ਅਤੇ ਹਰ ਲਾਈਨ ਦਾ ਨਿਯੰਤਰਣ ਮੁੱਲ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਅਸਫਲਤਾ ਅੰਤਿਮ ਹੈ ਜਾਂ ਨਹੀਂ।
ਦੋਹਰੇ ਸਟੈਕਾਂ ਤੋਂ ਸਾਵਧਾਨ ਰਹੋ। ਆਮ ਨਮੂਨਾ ਇਹ ਹੈ ਕਿ ਪਹਿਲਾਂ ਤੋਂ ਖਾਤਾ ਨਿਯਮ ਵਾਲਾ include, ਫਿਰ ਤੁਹਾਡਾ ਆਪਣਾ ਗਰੁੱਪ ਨਿਯਮ, ਜੋ ਇੱਕ ਦੀ ਆਸ ਹੋਣ ਵਾਲੀ ਥਾਂ 'ਤੇ ਦੋ ਫ਼ੈਸਲੇ ਪੈਦਾ ਕਰਦਾ ਹੈ। ਸਿਰਫ਼ ਸੋਧੀ ਫ਼ਾਈਲ ਹੀ ਨਹੀਂ, ਸ਼ਾਮਲ ਕੀਤੀ ਫ਼ਾਈਲ ਵੀ ਪੜ੍ਹੋ। ਪ੍ਰਭਾਵੀ ਕ੍ਰਮ ਵੇਖਣ ਦਾ ਤੇਜ਼ ਤਰੀਕਾ ਫ਼ਾਈਲ ਨੂੰ ਉੱਪਰ ਤੋਂ ਹੇਠਾਂ ਪੜ੍ਹ ਕੇ ਹਰ ਨਿਯੰਤਰਣ ਮੁੱਲ ਨੋਟ ਕਰਨਾ ਹੈ।
ਹੋਰ ਦਾਖਲਾ ਸ਼ਰਤਾਂ ਨੂੰ ਅਛੂਤ ਰੱਖੋ। ਸਫਲ ਪਾਸਵਰਡ ਪ੍ਰਮਾਣ ਪੱਤਰ ਜਾਂਚਾਂ, ਦੂਜੇ ਕਾਰਕ ਜਾਂ ਕਨੈਕਸ਼ਨ ਤੋਂ ਬਾਅਦ ਦੀ ਅਧਿਕਾਰਤਾ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦਾ, ਅਤੇ ਇਹ ਨੀਤੀ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਦਾ ਵੀ ਬਦਲ ਨਹੀਂ ਹੈ। ਇਹ ਸਿਰਫ਼ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਖਾਤਾ VPN ਪਹੁੰਚ ਲਈ ਵਿਚਾਰਨ ਯੋਗ ਹੈ ਜਾਂ ਨਹੀਂ।
ਮੈਂਬਰਾਂ, ਬਾਹਰਲਿਆਂ ਅਤੇ ਗਲਤ ਪਾਸਵਰਡਾਂ ਦੀ ਜਾਂਚ
ਨੀਤੀ ਨੂੰ ਪੂਰਾ ਮੰਨਣ ਤੋਂ ਪਹਿਲਾਂ ਤਿੰਨ ਹਾਲਤਾਂ ਜਾਂਚੋ। ਮੈਂਬਰ ਸਫਲਤਾਪੂਰਵਕ ਜੁੜਦਾ ਹੈ। ਗਰੁੱਪ ਤੋਂ ਬਾਹਰ ਦਾ ਵੈਧ ਖਾਤਾ ਆਪਣਾ ਪਾਸਵਰਡ ਪ੍ਰਮਾਣਿਤ ਕਰਦਾ ਹੈ ਪਰ VPN ਪਹੁੰਚ ਤੋਂ ਇਨਕਾਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਕਿਸੇ ਵੀ ਖਾਤੇ ਲਈ ਗਲਤ ਪਾਸਵਰਡ ਪ੍ਰਮਾਣੀਕਰਨ ਪੜਾਅ ਵਿੱਚ ਰੱਦ ਹੁੰਦਾ ਹੈ, ਗਰੁੱਪ ਨਿਯਮ ਨਾਲ ਨਹੀਂ।
ਕਲਾਇੰਟ ਨੂੰ ਦਿਸਣ ਵਾਲੀ ਗਲਤੀ ਅਤੇ ਸਰਵਰ ਲੌਗ ਇਕੱਠੇ ਵੇਖੋ, ਕਿਉਂਕਿ ਜੁੜਨ ਵਾਲੇ ਵਿਅਕਤੀ ਨੂੰ ਦੋਵੇਂ ਅਸਫਲਤਾਵਾਂ ਇੱਕੋ ਜਿਹੀਆਂ ਲੱਗ ਸਕਦੀਆਂ ਹਨ। ਸਹਾਇਤਾ ਲਈ ਇਹ ਫ਼ਰਕ ਮਹੱਤਵਪੂਰਨ ਹੈ: ਸਹੀ ਪਾਸਵਰਡ ਵਾਲੇ ਬਾਹਰਲੇ ਵਿਅਕਤੀ ਨੂੰ ਗਰੁੱਪ ਬਦਲਾਅ ਦੀ ਲੋੜ ਹੈ, ਜਦਕਿ ਗਲਤ ਪਾਸਵਰਡ ਨੂੰ ਪ੍ਰਮਾਣ ਮੁੜ-ਸੈੱਟ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।
PAM ਸੋਧਦੇ ਸਮੇਂ ਦੂਜਾ ਸੈਸ਼ਨ ਖੁੱਲ੍ਹਾ ਰੱਖੋ, ਅਤੇ ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ ਆਮ SSH ਲੌਗਇਨ ਵੀ ਪ੍ਰਮਾਣਿਤ ਕਰੋ। ਸਮਰਪਿਤ ਸੇਵਾ ਦਾ ਮਕਸਦ ਇਹ ਹੈ ਕਿ ਸਿਸਟਮ ਲੌਗਇਨ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੋਣਾ ਚਾਹੀਦਾ, ਅਤੇ ਇਹ ਜਾਣਨ ਦਾ ਇੱਕੋ ਤਰੀਕਾ ਇਸ ਨੂੰ ਜਾਂਚਣਾ ਹੈ।
ਜੇ ਕੁਝ ਟੁੱਟ ਜਾਵੇ ਤਾਂ ਕਾਪੀ ਤੋਂ ਪਿਛਲੀ ਸੇਵਾ ਫ਼ਾਈਲ ਬਹਾਲ ਕਰੋ। ਲੋੜੀਂਦਾ ਨਿਯਮ ਦੱਸਣਾ ਸੌਖਾ ਹੈ: ਮੈਂਬਰਸ਼ਿਪ ਖਾਤੇ ਨੂੰ VPN ਪਹੁੰਚ ਲਈ ਯੋਗ ਬਣਾਉਂਦੀ ਹੈ, ਅਤੇ ਹਰ ਹੋਰ ਲਾਜ਼ਮੀ ਜਾਂਚ ਅਜੇ ਵੀ ਲਾਗੂ ਹੈ।