ਦੋ ਲੌਗਇਨ ਜਾਂਚਾਂ ਦੋ ਕਾਰਕ ਨਹੀਂ ਹਨ: VPN ਅਤੇ RADIUS

VPN ਗੇਟਵੇ ਵਿੱਚ ਦੂਜਾ ਪ੍ਰਮਾਣਿਕਤਾ ਬੈਕਐਂਡ ਜੋੜਨਾ ਦੂਜਾ ਕਾਰਕ ਜੋੜਨ ਵਰਗਾ ਲੱਗਦਾ ਹੈ। ਆਮ ਤੌਰ ’ਤੇ ਇਹ ਦੂਜੀ ਜਾਂਚ ਜੋੜਦਾ ਹੈ, ਜੋ ਵੱਖਰੇ ਫੇਲ੍ਹ ਹੋਣ ਦੇ ਢੰਗਾਂ ਵਾਲੀ ਵੱਖਰੀ ਵਸਤੂ ਹੈ। ਦੋਵੇਂ ਸਫਲ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ ਜਾਂ ਨਹੀਂ, ਹਰ ਇੱਕ ਕੀ ਸਾਬਤ ਕਰਦਾ ਹੈ ਅਤੇ ਇੱਕ ਉਪਲਬਧ ਨਾ ਹੋਣ ’ਤੇ ਕੀ ਹੁੰਦਾ ਹੈ, ਇਹ ਤਿੰਨ ਵੱਖਰੇ ਫੈਸਲੇ ਹਨ। ਗਲਤੀ ਕਰੋ ਤਾਂ ਗੇਟਵੇ ਪ੍ਰਦਰਸ਼ਨ ਵਿੱਚ ਵਧੇਰੇ ਸਖ਼ਤ ਅਤੇ ਰੁਕਾਵਟ ਵੇਲੇ ਵਧੇਰੇ ਕਮਜ਼ੋਰ ਰਹਿੰਦਾ ਹੈ।

ਦੂਜਾ ਬੈਕਐਂਡ ਅਸਲ ਵਿੱਚ ਕੀ ਸਾਬਤ ਕਰਦਾ ਹੈ

ਸਥਾਨਕ ਖਾਤੇ ਦੀ ਖੋਜ ਸਾਬਤ ਕਰਦੀ ਹੈ ਕਿ ਨਾਮ ਡੇਟਾਬੇਸ ਵਿੱਚ ਹੈ ਅਤੇ ਪਾਸਵਰਡ ਉਸ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਸੀ। RADIUS ਅਦਲਾ-ਬਦਲੀ ਸਾਬਤ ਕਰਦੀ ਹੈ ਕਿ RADIUS ਸਰਵਰ ਨੇ ਪ੍ਰਾਪਤ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਲਈ Access-Accept ਵਾਪਸ ਕੀਤਾ। ਦੋਵਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਬਿਆਨ ਕਾਰਕ ਦੀ ਕਿਸਮ ਦਾ ਜ਼ਿਕਰ ਨਹੀਂ ਕਰਦਾ, ਕਿਉਂਕਿ ਦੋਵੇਂ ਗਿਆਨ ਦੀ ਜਾਂਚ ਕਰਦੇ ਹਨ। ਅਤੇ NIST ਦੀ ਡਿਜੀਟਲ ਪਛਾਣ ਗਾਈਡ ਵੱਖਰੀਆਂ ਕਾਰਕ ਕਿਸਮਾਂ ਅਤੇ ਉਨ੍ਹਾਂ ਦੇ ਪ੍ਰਮਾਣਕਾਂ ਦੀ ਗਿਣਤੀ ਕਰਦੀ ਹੈ, ਸਰਵਰ ਜਾਂ ਸੰਕੇਤ ਨਹੀਂ।

ਇੱਕ ਵੈਧ ਡਿਜ਼ਾਈਨ ਹੈ ਜਿਸ ਵਿੱਚ ਦੋਵੇਂ ਸਿਸਟਮ ਹਿੱਸਾ ਲੈਂਦੇ ਹਨ। ਕੇਂਦਰੀ ਸੇਵਾ ਵਿਅਕਤੀ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਕਰ ਸਕਦੀ ਹੈ ਜਦਕਿ ਗੇਟਵੇ ਸੁਤੰਤਰ ਤੌਰ ’ਤੇ ਜਾਂਚਦਾ ਹੈ ਕਿ ਉਸ ਖਾਤੇ ਨੂੰ ਇਸ ਟਨਲ ਦਾ ਹੱਕ ਹੈ ਜਾਂ ਨਹੀਂ। ਇਹ ਪ੍ਰਮਾਣਿਕਤਾ ਦੇ ਨਾਲ-ਨਾਲ ਅਧਿਕਾਰਤਾ ਹੈ, ਅਤੇ ਇਸ ਨੂੰ ਦੋ ਕਾਰਕ ਕਹਿਣਾ ਨੀਤੀ ਜਾਂਚ ਨੂੰ ਕਬਜ਼ੇ ਦੇ ਸਬੂਤ ਨਾਲ ਮਿਲਾ ਦਿੰਦਾ ਹੈ।

RADIUS ਅਸਲ ਦੂਜਾ ਕਾਰਕ ਲੈ ਜਾ ਸਕਦਾ ਹੈ ਜਦੋਂ ਇਹ ਕਿਸੇ ਅਜਿਹੀ ਚੀਜ਼ ਅੱਗੇ ਹੁੰਦਾ ਹੈ ਜੋ ਇੱਕ ਦੀ ਜਾਂਚ ਕਰਦੀ ਹੈ, ਜਿਵੇਂ ਪੁਸ਼ ਪ੍ਰਵਾਨਗੀ ਜਾਂ ਹਾਰਡਵੇਅਰ ਟੋਕਨ। ਲਿਫਾਫਾ ਨਹੀਂ ਦੱਸਦਾ ਕਿ ਵਰਤੋਂਕਾਰ ਨੇ ਕਿਹੜੇ ਪ੍ਰਮਾਣਕ ਪੇਸ਼ ਕੀਤੇ, ਇਸ ਲਈ ਗੇਟਵੇ ਦਾ ਲੇਬਲ ਨਹੀਂ, ਬੈਕਐਂਡ ਨੀਤੀ ਪੜ੍ਹੋ।

AND, OR ਅਤੇ ਫਾਲਬੈਕ ਵੱਖਰੇ ਉਤਪਾਦ ਹਨ

ਕਾਰਜਾਨੁਵਾਦਾਂ ਦੀ ਤੁਲਨਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਤੈਅ ਕਰੋ ਕਿ ਤੁਹਾਡੀ ਲੋੜ ਵਿੱਚ ਦੋਵੇਂ ਦਾ ਕੀ ਅਰਥ ਹੈ। AND ਨੀਤੀ ਲਈ ਹਰ ਨਾਮਿਤ ਜਾਂਚ ਦਾ ਪਾਸ ਹੋਣਾ ਲਾਜ਼ਮੀ ਹੈ, OR ਨੀਤੀ ਉਹ ਸਵੀਕਾਰ ਕਰਦੀ ਹੈ ਜੋ ਸਫਲ ਹੋਵੇ, ਅਤੇ ਫਾਲਬੈਕ ਦੂਜੀ ਨੂੰ ਸਿਰਫ਼ ਐਲਾਨੀਆਂ ਫੇਲ੍ਹ ਸ਼ਰਤਾਂ ਵਿੱਚ ਅਜ਼ਮਾਉਂਦਾ ਹੈ। ਇਹ ਤਿੰਨੇ ਰੁਕਾਵਟ ਵੇਲੇ ਉਲਟ ਵਿਵਹਾਰ ਕਰਦੇ ਹਨ, ਅਤੇ ਆਮ ਤੌਰ ’ਤੇ ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਹੀ ਸਮੀਖਿਆ ਦਾ ਮਕਸਦ ਹੁੰਦਾ ਹੈ।

ਕਨਫਿਗਰੇਸ਼ਨ ਸਕਰੀਨ ਵਿੱਚ ਦੋ ਬੈਕਐਂਡ ਐਂਟਰੀਆਂ ਜੋੜਨ ਨਾਲ ਇਹ ਨਹੀਂ ਪਤਾ ਲੱਗਦਾ ਕਿ ਉਤਪਾਦ ਕਿਹੜੀ ਨੀਤੀ ਲਾਗੂ ਕਰਦਾ ਹੈ। ਕੁਝ ਗੇਟਵੇ ਪਲੱਗਇਨ ਨੂੰ ਕ੍ਰਮ ਵਿੱਚ ਜੋੜਦੇ ਹਨ ਅਤੇ ਪਹਿਲੀ ਅਸਵੀਕ੍ਰਿਤੀ ’ਤੇ ਰੁਕ ਜਾਂਦੇ ਹਨ, ਜੋ AND ਸਿਰਫ਼ ਤਦ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਹਰ ਪਲੱਗਇਨ ਲਾਜ਼ਮੀ ਹੋਵੇ। ਹੋਰ ਸਥਾਨਕ ਖਾਤੇ ਨੂੰ ਓਵਰਰਾਈਡ ਮੰਨਦੇ ਹਨ, ਜੋ ਕੇਂਦਰੀ ਰੁਕਾਵਟ ਨੂੰ ਬਾਈਪਾਸ ਬਣਾ ਦਿੰਦਾ ਹੈ। ਭਰੋਸੇਯੋਗ ਜਵਾਬ ਹਰ ਮਾਰਗ ਲਈ ਦਸਤਾਵੇਜ਼ੀ ਨਕਾਰਾਤਮਕ ਜਾਂਚ ਹੈ, ਜੋ ਤੁਹਾਡੇ ਤੈਨਾਤ ਕੀਤੇ ਬਿਲਡ ’ਤੇ ਚਲਾਈ ਜਾਵੇ।

ਫਾਲਬੈਕ ਸਭ ਤੋਂ ਵੱਧ ਸ਼ੱਕ ਦਾ ਹੱਕਦਾਰ ਹੈ, ਕਿਉਂਕਿ ਕੁਝ ਟੁੱਟਣ ’ਤੇ ਕੰਮ ਜਾਰੀ ਰੱਖਣ ਲਈ ਇਸ ਦਾ ਹੋਣਾ ਜ਼ਰੂਰੀ ਹੈ। ਜਦੋਂ ਵੀ RADIUS ਪਹੁੰਚ ਤੋਂ ਬਾਹਰ ਹੋਵੇ ਸਥਾਨਕ ਪਾਸਵਰਡ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲਾ ਫਾਲਬੈਕ ਕੇਂਦਰੀ ਨੀਤੀ ਨੂੰ ਦੂਜੇ, ਕਮਜ਼ੋਰ ਦਰਵਾਜ਼ੇ ਵਿੱਚ ਬਦਲ ਚੁੱਕਾ ਹੈ।

OpenVPN ਦੀ ਦੋਹਰੀ ਜਾਂਚ ਇੱਕ ਠੋਸ ਉਦਾਹਰਣ ਹੈ

ਕਮਿਊਨਿਟੀ OpenVPN 2.6 ਦੋਵੇਂ ਸਮਰੱਥ ਹੋਣ ’ਤੇ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਕਨਫਿਗਰ ਕੀਤੀ auth-user-pass-verify ਸਕ੍ਰਿਪਟ ਦੋਵੇਂ ਲੋੜਦਾ ਹੈ। ਇਹ ਸਰਟੀਫਿਕੇਟ ਜਾਂਚ ਅਤੇ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਸਕ੍ਰਿਪਟ ਵਿਚਕਾਰ ਦਸਤਾਵੇਜ਼ੀ AND ਹੈ, ਅਤੇ ਇਹ ਸੱਚਮੁੱਚ ਦੋ ਜਾਂਚਾਂ ਹਨ। ਫਿਰ ਵੀ ਇਹ ਆਪਣੇ ਆਪ ਦੋ ਕਾਰਕ ਕਿਸਮਾਂ ਨਹੀਂ, ਕਿਉਂਕਿ ਸਕ੍ਰਿਪਟ ਸਿਰਫ਼ ਪਾਸਵਰਡ ਦੀ ਪੁਸ਼ਟੀ ਕਰ ਸਕਦੀ ਹੈ।

ਸੰਯੋਜਨ ਜੋੜ ਦਾ ਸਵਾਲ ਵੀ ਖੁੱਲ੍ਹਾ ਛੱਡਦਾ ਹੈ। ਸਰਟੀਫਿਕੇਟ ਆਮ ਤੌਰ ’ਤੇ ਜੰਤਰ ਦੀ ਪਛਾਣ ਕਰਦਾ ਹੈ ਜਦਕਿ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਵਿਅਕਤੀ ਦੀ, ਅਤੇ ਡਿਫ਼ਾਲਟ ਪ੍ਰਵਾਹ ਵਿੱਚ ਕੁਝ ਵੀ ਦੋਵਾਂ ਦਾ ਇੱਕੋ ਪ੍ਰਮੁੱਖ ਹਵਾਲਾ ਹੋਣਾ ਲਾਜ਼ਮੀ ਨਹੀਂ ਬਣਾਉਂਦਾ। ਤੈਅ ਕਰੋ ਕਿਹੜੇ ਜੋੜਿਆਂ ਦੀ ਆਗਿਆ ਹੈ, ਫਿਰ ਉਹ ਨਕਸ਼ਾ ਜਾਂਚ ਸਕ੍ਰਿਪਟ ਵਿੱਚ ਜਾਂ ਬਾਅਦ ਦੇ ਅਧਿਕਾਰਤਾ ਕਦਮ ਵਿੱਚ ਲਾਗੂ ਕਰੋ।

ਸਿਰਫ਼-ਸਰਟੀਫਿਕੇਟ ਮੋਡ ਇੱਕੋ ਜਾਂਚ ਹੈ, ਜੋ PIN ਨਾਲ ਸੁਰੱਖਿਅਤ ਹੋ ਸਕਣ ਜਾਂ ਨਾ ਹੋ ਸਕਣ ਵਾਲੀ ਚਾਬੀ ’ਤੇ ਟਿਕੀ ਹੈ। PIN ਉਹੀ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਨੂੰ ਗਿਆਨ ਅਤੇ ਕਬਜ਼ੇ ਵਿੱਚ ਸਿਰਫ਼ ਤਦ ਬਦਲਦਾ ਹੈ ਜਦੋਂ ਚਾਬੀ ਇਸ ਤੋਂ ਬਿਨਾਂ ਵਰਤੀ ਨਾ ਜਾ ਸਕੇ। ਉਹ ਚਾਬੀ ਡਿਸਕ ’ਤੇ ਐਨਕ੍ਰਿਪਟ ਕੀਤੇ ਬਿਨਾਂ ਛੱਡਣਾ ਦੂਜੇ ਹਿੱਸੇ ਨੂੰ ਫ਼ਾਈਲ ਆਗਿਆ ਤੱਕ ਘਟਾ ਦਿੰਦਾ ਹੈ।

ਜੰਤਰ ਨਿਰਮਾਤਾ ਆਪਣੀ ਪਲੰਬਿੰਗ ਬਣਾਉਂਦੇ ਹਨ, ਅਕਸਰ ਵੈੱਬ ਕੰਸੋਲ ਪਿੱਛੇ PAM ਮੌਡਿਊਲ ਜਾਂ RADIUS ਪਲੱਗਇਨ। ਕਮਿਊਨਿਟੀ ਦਾ ਵਿਵਹਾਰ ਇਹ ਦੱਸਣ ਦਾ ਹਵਾਲਾ ਹੈ ਕਿ ਦੋਹਰੀਆਂ ਜਾਂਚਾਂ ਕਿਹੋ ਜਿਹੀਆਂ ਦਿਸਦੀਆਂ ਹਨ, ਨਾ ਕਿ ਜੰਤਰ ਉਨ੍ਹਾਂ ਨੂੰ ਕਿਵੇਂ ਜੋੜਦਾ ਹੈ।

ਆਪਣੇ ਗੇਟਵੇ ’ਤੇ ਸੰਯੋਜਨ ਦੀ ਜਾਂਚ ਕਰੋ

ਕੰਸੋਲ ਸਾਰਾਂਸ਼ ’ਤੇ ਭਰੋਸਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਕਨਫਿਗਰੇਸ਼ਨ ਪੜ੍ਹੋ। ਨੀਤੀ ਤੈਅ ਕਰਨ ਵਾਲੀਆਂ ਲਾਈਨਾਂ ਸਰਟੀਫਿਕੇਟ ਮੋਡ, ਪ੍ਰਮਾਣ-ਪੱਤਰ ਸਕ੍ਰਿਪਟ ਅਤੇ ਪਲੱਗਇਨ ਕ੍ਰਮ ਹਨ।

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਸਰਟੀਫਿਕੇਟ ਲੋੜੀਂਦਾ ਹੈ ਜਾਂ ਨਹੀਂ ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ ਕਿਹੜੀ ਸਕ੍ਰਿਪਟ ਚੱਲਦੀ ਹੈ, ਅਤੇ ਕ੍ਰਮ ਨਾਵਾਂ ਦੇ ਸੰਕੇਤ ਨਾਲੋਂ ਵੱਧ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਸਰਟੀਫਿਕੇਟ ਡੰਪ ਉਹ ਪਛਾਣ ਦਿੰਦਾ ਹੈ ਜੋ ਗੇਟਵੇ ਦੇਖੇਗਾ, ਜਿਸ ਵਿੱਚ ਜੋੜ ਨਕਸ਼ੇ ਲਈ ਲੋੜੀਂਦੇ CN ਅਤੇ ਕ੍ਰਮਿਕ ਨੰਬਰ ਸ਼ਾਮਲ ਹਨ। RADIUS ਜਾਂਚ ਨਕਾਰਾਤਮਕ ਕੇਸ ਹੈ: ਗਲਤ ਪਾਸਵਰਡ Access-Reject ਅਤੇ ਸਹੀ Access-Accept ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ। ਜੇ ਅਸਵੀਕਾਰਿਆ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਫਿਰ ਵੀ ਸੈਸ਼ਨ ਦਿੰਦਾ ਹੈ, ਤਾਂ ਸਕ੍ਰਿਪਟ ਪ੍ਰਮਾਣਿਕਤਾ ਮਾਰਗ ’ਤੇ ਹੀ ਨਹੀਂ।

ਫਿਰ ਪ੍ਰਯੋਗਸ਼ਾਲਾ ਇੰਸਟੈਂਸ ’ਤੇ ਰੁਕਾਵਟ ਦਾ ਕੇਸ ਚਲਾਓ: ਲਾਜ਼ਮੀ ਬੈਕਐਂਡ ਰੋਕੋ ਅਤੇ ਵੈਧ ਪ੍ਰਮਾਣ-ਪੱਤਰਾਂ ਨਾਲ ਜੁੜੋ। ਉਮੀਦ ਕੀਤਾ ਨਤੀਜਾ ਅਸਵੀਕ੍ਰਿਤੀ ਹੈ, ਅਤੇ ਬਾਕੀ ਕੁਝ ਵੀ ਉਹ ਫਾਲਬੈਕ ਨੀਤੀ ਹੈ ਜਿਸ ਨੂੰ ਕਿਸੇ ਨੇ ਦਸਤਾਵੇਜ਼ੀ ਨਹੀਂ ਕੀਤਾ।

ਲੋੜ ਨੂੰ ਨਕਾਰਾਤਮਕ ਕੇਸਾਂ ਵਜੋਂ ਲਿਖੋ

ਵਰਤੋਂਯੋਗ ਲੋੜ ਸਬੂਤਾਂ, ਉਨ੍ਹਾਂ ਨੂੰ ਪੇਸ਼ ਕਰਨ ਦੇ ਅਧਿਕਾਰਤ ਖਾਤਿਆਂ ਅਤੇ ਜਾਂਚਕਰਤਾ ਦੀ ਗੈਰਹਾਜ਼ਰੀ ਵਿੱਚ ਨਤੀਜੇ ਦਾ ਨਾਮ ਦਿੰਦੀ ਹੈ। ਇਹ ਜੰਤਰ ਪਛਾਣ ਅਤੇ ਵਿਅਕਤੀ ਪਛਾਣ ਵਿਚਕਾਰ ਆਗਿਆਯੋਗ ਜੋੜ ਵੀ ਦੱਸਦੀ ਹੈ। ਇਹ ਖਰੀਦ ਆਰਡਰ ਦੇ ਉਤਪਾਦ ਨਾਵਾਂ ਨਾਲੋਂ ਵਧੇਰੇ ਸਟੀਕ ਹੈ, ਅਤੇ ਇਸ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ।

ਸਵੀਕ੍ਰਿਤੀ ਵਿੱਚ ਚਾਰ ਅਸਵੀਕ੍ਰਿਤੀਆਂ ਸ਼ਾਮਲ ਹੋਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ: ਅਯੋਗ ਸਥਾਨਕ ਖਾਤਾ, ਗੁੰਮ ਲਾਜ਼ਮੀ ਸਬੂਤ, ਅਵੈਧ ਦੂਜਾ ਕਾਰਕ ਅਤੇ ਅਪਹੁੰਚ ਲਾਜ਼ਮੀ ਬੈਕਐਂਡ। ਹਰ ਅਸਵੀਕ੍ਰਿਤੀ ਲਈ ਇੱਕ ਲੌਗ ਲਾਈਨ ਚਾਹੀਦੀ ਹੈ ਜੋ ਇਸ ਨੂੰ ਬਾਕੀਆਂ ਤੋਂ ਵੱਖਰਾ ਕਰੇ, ਨਹੀਂ ਤਾਂ ਅਗਲੀ ਘਟਨਾ ਅੰਦਾਜ਼ੇ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ। ਦਰਜ ਕਰੋ ਕਿ ਕਿਹੜੇ ਹਿੱਸੇ ਨੇ ਕਿਹੜਾ ਫੈਸਲਾ ਲਿਆ, ਕਿਉਂਕਿ ਗੇਟਵੇ, RADIUS ਸਰਵਰ ਅਤੇ ਡਾਇਰੈਕਟਰੀ ਇੱਕ-ਦੂਜੇ ਨੂੰ ਦੋਸ਼ ਦੇਣਗੇ।

ਕਿਸੇ ਵੀ ਪਲੱਗਇਨ ਜਾਂ ਫਰਮਵੇਅਰ ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ ਚਾਰ ਅਸਵੀਕ੍ਰਿਤੀਆਂ ਦੁਬਾਰਾ ਚਲਾਓ। ਇਹ ਸਸਤੀਆਂ ਹਨ, ਅਤੇ ਜਿਸ ਨੀਤੀ ਦੀ ਇਹ ਰੱਖਿਆ ਕਰਦੀਆਂ ਹਨ ਉਹੀ ਹਮਲਾਵਰ ਪਹਿਲਾਂ ਜਾਂਚਦਾ ਹੈ।