دوه د ننوتلو چیکونه دوه فکتورونه نه دي: VPN او RADIUS

VPN ګېټوې ته دویم تصدیق بیک انډ اضافه کول د دویم فکتور اضافه کولو په څېر ښکاري۔ معمولاً دا دویم چیک اضافه کوي، چې د بېل ناکامۍ لارو بېل شی دی۔ ایا دواړه باید بریالي شي، هر یو څه ثابتوي او کله چې یو نه وي شتون لري څه پېږي، دا درې جلا پرېکړې دي۔ که غلطي وکړئ، ګېټوې په ښودنه کې سخت او د بندېدو پر مهال کمزوری وي۔

دویم بیک انډ په رېښتیا څه ثابتوي

په سیمه ایز حساب کې لټون ثابتوي چې نوم په ډیټابیس کې شتون لري او پاسورډ ورسره سمون درلود۔ د RADIUS تبادله ثابتوي چې RADIUS سرور د ترلاسه شوو ځانګړتیاوو لپاره Access-Accept بیرته راوړی۔ دواړو څخه هیڅ بیان د فکتور ډول نه یادوي، ځکه چې دواړه پوهه تصدیقوي۔ او د NIST د ډیجیټل پیژندنې لارښود د فکتور بېلابېل ډولونه او هغوی ته اړوند تصدیقوونکي شمېري، نه سرورونه یا اشارې۔

یو قانوني ډیزاین شته چې دواړه سیسټمونه پکې برخه اخلي۔ مرکزي خدمت کولی شي شخص تصدیق کړي، په داسې حال کې چې ګېټوې په خپلواکه توګه ګوري چې ایا هغه حساب دې تونل ته حق لري۔ دا د تصدیق ترڅنګ اجازه ده، او دوه فکتوره یې بلل د پالیسۍ چیک د مالکیت له ثبوت سره ګډوي۔

RADIUS کولی شي ریښتینی دویم فکتور ولېږدوي کله چې د یوې داسې شي مخې ته وي چې یو تصدیقوي، لکه پوش تصویب یا هارډویئر ټوکن۔ پوښ نه وایي چې کارونکي کوم تصدیقوونکي وړاندې کړي، نو د ګېټوې لیبل نه، د بیک انډ پالیسي ولولئ۔

AND، OR او شاتګ بېل محصولات دي

د پلي کولو پرتله کولو دمخه وټاکئ چې ستاسو په غوښتنه کې دواړه څه معنا لري۔ AND پالیسي غواړي چې هر نومول شوی چیک تېر شي، OR پالیسي هغه مني چې بریالی شي، او شاتګ دویم یوازې په اعلان شوو ناکامۍ شرایطو کې ازموي۔ دا درې د بندېدو پر مهال مخالف چلند کوي، او معمولاً یوازې یو له دوی څخه هغه دی چې بیاکتنې یې په نظر کې درلود۔

د کنفیګریشن سکرین ته دوه بیک انډ داخلې اضافه کول نه ښیي چې محصول کومه پالیسي پلي کوي۔ ځینې ګېټوې پلګینونه په ترتیب سره زنځیروي او په لومړي رد ودریږي، چې یوازې هغه وخت AND دی چې هر پلګین لازمي وي۔ نور بیا سیمه ایز حساب د لاسوهنې په توګه ګڼي، چې مرکزي بندېدل په لارښوونه بدلوي۔ باوري ځواب د هرې لارې لپاره مستند منفي ازموینه ده، چې ستاسو د ځای پرځای کولو build پروړاندې چلېږي۔

شاتګ تر ټولو ډېر شک ته اړ دی، ځکه چې د یو څه خرابېدو پر مهال د کار دوام لپاره شتون لري۔ هغه شاتګ چې هرکله RADIUS نه وي رسېدلی، سیمه ایز پاسورډ مني، مرکزي پالیسي یې دویم، کمزوري دروازې ته اړولې ده۔

د OpenVPN دوه ګونی چیک یوه مشخصه پېښه ده

ټولنیز OpenVPN 2.6 دواړه فعال وي نو د کاروونکي سند او کنفیګر شوې auth-user-pass-verify سکریپټ دواړه غواړي۔ دا د سند تصدیق او د اعتبارنامې سکریپټ ترمنځ مستند AND دی، او دا واقعاً دوه چیکونه دي۔ سره له دې په اتوماتيک ډول دوه ډوله فکتورونه نه دي، ځکه سکریپټ کېدای شي یوازې پاسورډ تصدیق کړي۔

ترکیب د تړاو پوښتنه هم پرانیستې پرېږدي۔ سند معمولاً یو وسیله پیژني، په داسې حال کې چې اعتبارنامې یو شخص پیژني، او په ډیفالټ جریان کې هیڅ شی نه غواړي چې دواړه یوې اصلي څېرې ته اشاره وکړي۔ پرېکړه وکړئ کوم جوړې ته اجازه ده، بیا هغه نقشه د تصدیق سکریپټ دننه یا په وروستي اجازې قدم کې پلي کړئ۔

یوازې د سند حالت یو چیک دی، چې د PIN لخوا ساتل شوي یا نه ساتل شوي کیلي له مخې دی۔ PIN هغه اعتبارنامه په پوهه او مالکیت هغه وخت بدلوي چې کیلي پرته له دې ونه کارول شي۔ هغه کیلي په ډیسک کې ناانکرپټ پریښودل دویم برخه د فایل اجازې ته راټیټوي۔

د وسیلو جوړوونکي خپله پلمبینګ جوړوي، غالباً د وېب کنسول شاته PAM ماډل یا RADIUS پلګین۔ د ټولنې چلند د دې لپاره حواله ده چې دوه ګوني چیکونه څنګه ښکاري، نه دا څرګندونه چې وسیله څنګه دوی سره یوځای کوي۔

په خپله ګېټوې ترکیب وګورئ

د کنسول لنډیز باور کولو دمخه کنفیګریشن ولولئ۔ د پالیسۍ ټاکونکې کرښې د سند حالت، اعتبارنامې سکریپټ او پلګین ترتیب دي۔

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep ښیي چې سند ته اړتیا ده که نه او له هغې وروسته کوم سکریپټ چلېږي، او ترتیب د نومونو له اشارې ډېر مهم دی۔ سند ډمپ هغه پیژندنه راکوي چې ګېټوې به وګوري، په شمول د تړاو نقشې لپاره اړین CN او سیریل نمبر۔ RADIUS ازموینه منفي حالت دی: غلط پاسورډ باید Access-Reject او سم Access-Accept راکړي۔ که رد شوې اعتبارنامه لا هم سېشن راکړي، سکریپټ په تصدیق لار کې بالکل نه دی۔

بیا د لابراتوار نمونه کې د بندېدو حالت پرمخ وړئ: اړین بیک انډ ودروئ او په معتبرو اعتبارنامو سره ونښلئ۔ تمه شوې پایله رد دی، او هر بل څه هغه شاتګ پالیسي ده چې هیڅوک نه ده مستنده کړې۔

غوښتنه د منفي حالتونو په توګه ولیکئ

د کار وړ غوښتنه ثبوتونه، هغه حسابونه چې وړاندې کولو ته اجازه لري او کله چې تصدیقوونکی نه وي پایله نوموي۔ دا د وسیلې پیژندنې او شخص پیژندنې ترمنځ د اجازه شوې جوړې هم یادونه کوي۔ دا د پیرود امر پروړاندې محصولاتو نومونو څخه دقیق دي، او ازمویل کېدای شي۔

منښت باید څلور ردونه ولري: ناوړه سیمه ایز حساب، ورک لازم ثبوت، ناسم دویم فکتور او نه رسېدونکی لازم بیک انډ۔ هر رد ته د لاګ کرښې اړتیا ده چې له نورو یې بېلوي، که نه نو بله پېښه له اټکل سره پیلېږي۔ ثبت کړئ کوم برخې کومه پرېکړه وکړه، ځکه ګېټوې، RADIUS سرور او لارښود به یو بل تورنوي۔

د هر پلګین یا فرم ویر بدلون وروسته څلور ردونه بیا چل کړئ۔ دوی ارزانه دي، او هغه پالیسي چې دوی یې ساتي هغه برخه ده چې بریدګر لومړی ګوري۔