په OpenVPN کې LDAP تصدیق کار کوي خو د ډلې کتنه ناکامه کیږي: چېرته وګورو

تصدیق تېریدلی شي په داسې حال کې چې د ډلې کتنه هر څوک ردوي. Authorization بلاک، د غړیتوب ځانګړتیا او د لارښود پای ټکی یو په بل پسې وګورئ.

د ننوتلو معلومات تېریږي، تونل پورته کېدل پیل کوي، او بیا ناسته د پټنوم په اړه نه، بلکې د ډلې په اړه د پیغام سره ناکامه کیږي۔ دا ترکیب نیمګړتیا د LDAP پلگ ان د کار دوهمې نیمایي کې ځای پرځای کوي: تړاو او د پټنوم کتنه بریالۍ شوه، او هغه غړیتوب پرېکړه چې وروسته راځي نه شوه۔ دواړه نیمایي له یوې همدې ترتیب بلاک څخه لولي، نو ځکه یو ځای سمون بل لاس نه وهل شوی پرېښودلی شي۔ له هغې لاګ کرښې پیل کړئ چې د پړاو نوم اخلي، نه له هغه حساب چې ناڅاپي یې ازموینه کوئ۔

رد کول د اجازې جواب وګڼئ

پلگ ان د خدمت تړاو کوي، حساب لټوي، ورکړل شوی پټنوم تاییدوي، او بیا پوښتنه کوي چې آیا هغه حساب اجازه لرونکې ډلې ته اړوند دی۔ دا څلور جلا عملیات دي، او یوازې وروستی یې د ډلو په اړه دی۔ نو ځکه له بریالي تړاو وروسته راغلی رد د پټنوم په اړه هېڅ نه وایي، حتی کله چې کلاینټ عمومي د تصدیق تېروتنه ښکاره کړي۔ له ترتیب بدلولو دمخه د پلگ ان د لاګ کچه لوړول هماغه شی دی چې په پایله کې هغه څلور جلا کوي۔

په خپله د ډلې ارزونه وګورئ۔ کله چې د ډلې پوښتنه په بشپړ ډول ونه ښکاري، د اجازې بلاک ته نه رسیدل کیږي، چې معمولاً معنا یې دا ده چې یو لارښود له هغه بلاک څخه بهر دی چې مالک یې دی یا یو اړین انتخاب ورک دی۔ کله چې پوښتنه ښکاري او هېڅ نه بېرته راولي، پای ټکی یا فلټر له هغې پوښتنې څخه بېله پوښتنې ته ځواب وایي چې تاسو یې په نظر کې لرله۔

پرېکړه وکړئ چې غړیتوب په فلټر کې اوسیږي که په ډلې بلاک کې

دوه ملاتړ شوي بڼې شته، او د هغوی ګډول هماغه لاره ده چې یو فعال ترتیب له کاره ولوېږي۔ لومړی غړیتوب د کاروونکي توکي باندې د ځانګړتیا غوښتلو سره د کاروونکي لټون ته ټېل وهي؛ دوهم د کاروونکي لټون پر ځای پرېږدي او پلگ ان وروسته د ډلې توکي لټولو ته پرېږدي۔ د هر ځای پرځای کولو لپاره یوه وټاکئ او ولیکئ چې کومه مو وټاکله۔

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(&(sAMAccountName=%u)(memberOf=CN=VPN Access,OU=Groups,DC=example,DC=org))"
    RequireGroup false
</Authorization>

په دې بڼه کې فلټر هر څه پرېکوي، نو RequireGroup باید false وي، که نه پلگ ان هغه ډلې توکي لټولو ته ځي چې فلټر هېڅکله یاد نه کړی۔ په فلټر کې ځانګړتیا باید په کاروونکي توکي موجوده وي او ډکه وي، چې کله ډلې ننوتل شوې وي تضمین نه کیږي۔

بله بڼه لټون ساده ساتي او وروسته د ډلې لټون ورزیاتوي۔ د ډلې توکی په څرګند ډول نومول کیږي، او پلگ ان کاروونکی له هغو غړو سره پرتله کوي چې لارښود د هغې لپاره بېرته راولي۔ د کاروونکي فلټر کې هېڅ نه بدلیږي، چې دا بڼه هغه وخت کتنه اسانه کوي کله چې ډله بله ډله اداره کوي۔

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(sAMAccountName=%u)"
    RequireGroup true
    Group        "CN=VPN Access,OU=Groups,DC=example,DC=org"
</Authorization>

ړوند ځای ګډ دی: ساده غړیتوب پرتله ننوتل شوې ډلې نه پراخوي، نو هغه حساب چې لاسرسی یې د مور ډلې له لارې راځي ناکام کیږي، په داسې حال کې چې کنسول لا هم غړیتوب ښکاره کوي۔ Active Directory په ډله کې member ښکاره کوي، نور سکیمونه uniqueMember کاروي، او ناسمې ځانګړتیا ته اشاره کول د تېروتنې پر ځای خالي نتیجه بېرته راولي۔

هغه پای ټکی وټاکئ چې د ډلې توکی لري

URL پرېکوي چې پلگ ان کوم لارښود ته پوښتنه کوي، او 389 پورټ کې د ډومېن کنټرولر یوازې خپل نومونې زمینه ته ځواب وایي۔ 3268 پورټ کې نړیوال کتلاګ ټول ځنګل ته ځواب وایي، یوازې لوستلو او د ځانګړتیاوو جزوي سیټ سره۔ کله چې حسابونه په یو ډومېن کې او VPN ډله په بل کې وي، یو-ډومېنه پوښتنه کېدای شي کاروونکی ومومي او بیا هم غړیتوب له لاسه ورکړي۔ دا هغه حالت دی چې URL کتلاګ پورټ ته لېږدول رد حل کوي، او دا هغه حالت هم دی چې خلک ډېر عمومي کوي۔

جزوي ځانګړتیا سیټ هماغه حد دی: هغه ځانګړتیا چې کتلاګ نه لري پرې فلټر نشي کېدای، نو هماغه بدلون کېدای شي یو ځای پرځای کول کار کړي او بل هېڅ بیرته نه راولي۔ تر هغې چې بلاک بیا ولیکئ، تایید کړئ چې پای ټکی د ریښتیني کاروونکي او ډلې لپاره واقعاً څه بېرته راولي۔ راجعې او TLS بیا جلا مسایل دي، ځکه چې راجعې ته باید تعقیب شي او TLS ته اړتیا لرونکی پای ټکی اړوند د باور فایلونه غواړي۔

د حساب حالت او د لټون ساحه په خپلو برخو کې وساتئ

د غیر فعالولو بیرغ فلټر ته اړوند دی، نه د ډلې کتنې ته۔ په Active Directory کې دا د userAccountControl دوهم بټ دی، او پرته له دې شرط د اعتبار وړ پټنوم لرونکی غیر فعال حساب تصدیق کیږي او بیا د ډلې په پړاو کې ناکام کیږي، چې د اجازې تېروتنې په څېر ښکاري۔ د لټون ساحه بنسټیز DN ته اړوند ده، ځکه چې د ډومېن له ریښې پیل کول ورو او د هغې سازماني واحد څخه بهر شیان سره سمون خوري چې تاسو یې د پوښلو اراده لرله۔

د تړاو حساب حقوق هم تنګ وساتئ۔ پراخ د لارښود حقوق ناسم تنظیم شوی فلټر بریالۍ پوښتنه جوړوي او تېروتنه تر هغې پټوي چې څوک حساب کتنه کړي۔ غړیتوب په خپل لارښود کې بدل کړئ، هېڅکله په سیمه ییز استثنا لیست کې نه، تر څو د لاسرسي لرې کولو لپاره حساب غیر فعالول کافي وي۔ که ډله بله ډله اداره کوي، د هغې باندې فلټر لیکلو دمخه د هغې ځانګړتیا سره موافقه وکړئ چې دوی یې ډکوي۔

پایله په درې حسابونو ثابته کړئ

ترتیب په درې پیژندنو باندې چلوئ: اجازه لرونکی غړی، له ډلې بهر معتبر حساب، او هغه حساب چې غیر فعال شوی دی۔ که درې واړه رد شي، تړاو یا د ډلې پوښتنه ماته ده؛ که درې واړه ومنل شي، هېڅ د ډلې شرط نه پلي کیږي۔ ګډه پایله یوازینی نتیجه ده چې ثابته کوي ترتیب ستاسو لپاره مهم حالتونه جلا کوي۔

تر هغې چې پلگ ان ملامت کړئ، هماغه درې ځوابونه مستقیم له لارښود څخه ولولئ۔ لومړۍ پوښتنه هغه ډله ځانګړتیا ښکاره کوي چې فلټر پرې تکیه لري، او دوهمه د حساب کنټرول ارزښت ښکاره کوي۔ خپل بنسټیز DN، حساب او پای ټکی ځای پرځای کړئ:

ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=alice)" memberOf
ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=bob)" userAccountControl

هغه کاروونکی چې memberOf یې خالي بېرته راځي د لارښود حقیقت دی، د پلگ ان تېروتنه نه ده، او هغه حساب چې له غیر فعالولو وروسته هم تصدیق کیږي د دې معنا لري چې فلټر د حساب کنټرول شرط نلري۔ لومړی هغه شاهد سم کړئ، بیا د درې-حساب ازموینه بیا چلوئ۔ هغه لاګ کرښه چې د ناکام پړاو نوم یې اخیستې وه د ترتیب بدلون ترڅنګ وساتئ، تر څو بل کس د لټون تکرار پرته اجازه له تصدیق څخه جلا کړای شي۔

اړوندې مقالې