RADIUS په OpenVPN کې نښلول: پلاګین که د سکریپټ قلاب؟

پلاګین لا هم په هغو بحثونو کې وړاندیز کېږي چې له اوسنیو جوړښتونو زاړه دي، او پرون جوړ شوي سرور کې د بارېدو پر مهال ناکامېږي۔ دا داسې د تنظیماتو تېروتنه نه ده چې په لار سمه شي۔ پلاګین او د سکریپټ قلاب یوه ستونزه په بېلو طبقو کې حل کوي، او له یوه بل ته تګ بدلوي چې څه نصب شي، څه د سرور واکونو سره ځي، او ناکامه ننوتنه تاسو ته په رښتیا څه وایي۔

افسانه: پلاګین هغه ملاتړ شوې لار ده

پلاګین یو شریک شی دی چې د OpenVPN پروسې ته بارېږي، نو باید له هغه انټرفیس سره سمون ولري چې دا پروسه یې ښیي۔ جوړښتونه بدلېږي، بسته‌بندي بدلېږي، او د زاړه انټرفیس لپاره جوړه شوې کتابخانه ساده له بارېدو انکار کوي۔ په سرور تنظیماتو کې هېڅ شی دا تشه نه شي ډکولی، له همدې کبله "یوازې radiusplugin نصب کړه" سلا په هغه سرور پای ته رسېږي چې نه پیلېږي۔

د سکریپټ قلاب پر ځای د پروسې بهر ولاړ دی۔ OpenVPN یو پروګرام چلوي، هغه ته اعتبارنامه ورکوي او حکم بیرته لولي۔ همدا جلاوالی دی چې تازه‌ساتنې ترې تېرېږي، او همدا دی چې دا ستاسو مسؤلیت ګرځوي هغه ډول چې پلاګین هېڅکله نه و۔

هیڅ یوه طریقه په جوړښت خوندي نه ده۔ یوه د ډیمون دننه بهرنی کوډ چلوي؛ بله ستاسو کوډ د هغه تر څنګ، اعتبارنامه په لاس کې چلوي۔ سمه پوښتنه دا ده چې له دې دوو خطرونو کوم یوې ته په رښتیا مدیریت کولی شئ۔

پلاګین څه سره وتړل

پلاګین خپل تنظیماتي فایل درلود چې RADIUS کوربه، شریکه پټه، د بیا هڅو شمېر او وخت پکې و، او د سرور تنظیماتو په یوه کرښه ورته اشاره کوله۔ د اعتبارنامو کار په سرور پروسه کې پاتې شو، یعنې پټنوم هېڅکله هغه پروسې پوله ونه اوښته چې مدیر باید خوندي کړې وای۔

بیه تړل وو۔ هر OpenVPN تازه‌ساتنه د ناسم انټرفیس خطر درلود، او هر وېش چې بسته بیا جوړوي د هغې کتابخانې خطر درلود چې نوره نه ځای پر ځای کېږي۔ کله چې دا وشي، ناکامي لوړه او سملاسي ده، او دا د ډیزاین یوازې مهرباني ده۔

که داسې پلاګین لا هم ستاسو په جوړښت بارېږي، دا کېدای شي کوچنی کاري مخ وي۔ تصدیق کړئ چې د کوم انټرفیس لپاره جوړ شوی، هغه په خپل ازمویل شوي جوړښت ټینګ کړئ، او هر تازه‌ساتنه د عادي بستې تازه‌ساتنې پر ځای هغه بدلون وګڼئ چې بشپړه ننوتنه ازموینه غواړي۔

د سکریپټ قلاب په رښتیا څه باور لري

قلاب د auth-user-pass-verify او د رسولو میکانېزم سره تنظیمېږي: چاپېریالي بدلونکي یا لنډمهاله فایل۔ په چاپېریالي بڼه کې OpenVPN د script-security 3 غوښتنه کوي، هغه مستند شوی کچه چې سکریپټونو ته د پټنوم ښکارېدو اجازه ورکوي۔ دا کچه د اصلي حالت قصدي کمزوری دی، او باید داسې اجازه وګڼل شي چې دلیل ورسره مل وي۔

هر څه چې سکریپټ ورته لاس ورکوي هغه باور په میراث اخلي۔ باید د root ملکیت وي، د ډلې یا نورو لپاره نه لیکل کېدونکی وي، په مطلق لار ورته اشاره شوې وي، او له هغه ځایه پاک وي چې نا باوري ارزښت شل ته رسېږي۔ هر بدلونکی په اقتباس کې کېږدئ، ناڅاپي توري رد کړئ، او هېڅکله له ورکړل شوي کارنوم څخه امر مه جوړوئ۔ سکریپټ چې په هرې ننوتنې هڅه کې د root په توګه ځي، په همدې څلورو ځانګړنو یوه بیاکتنه ارګي۔

ls -l /usr/local/sbin/radius-auth.sh
stat -c '%U %a' /usr/local/sbin/radius-auth.sh

د فایل رسولو بڼه د چاپېریال میراث ستونزه نه کوي او اعتبارنامه په محدودو اجازتو لنډمهاله فایل له لارې سکریپټ ته ورکوي۔ که ستاسو کلاينټ یې ملاتړ کوي، دا معمولاً غوره اصلي حالت دی، که څه هم په ناکامۍ کې د پاکولو لپاره یو بل شی زیاتوي۔

د وتلو کوډونه پرېکړه کوي چې ایا پرانیستي ناکامېږئ

د سکریپټ وتلو حالت حکم دی: صفر مني، غیر صفر رد کوي۔ هغه بڼه چې ستونزه جوړوي د شل سکریپټ دی چې یوازې هغه وخت مني چې د RADIUS ځواب کې ځانګړی منلو ټوکن وي او د نورو ټولو لپاره ناکامي بېرته ورکوي، ځکه دا درې بېلې پېښې په یوه ځواب کې یوځای کوي۔ غلط پټنوم، نه رسېدونکی سرور او خراب ځواب ټول یو شان ردېدل کېږي۔

هغه قضیې په سکریپټ کې بېلې کړئ که څه هم قلاب یوازې منل یا رد کولی شي۔ د بیکنډ پایله جلا ثبت کړئ، د وخت حدودو او د لېږد تېروتنو لپاره خبرداری ورکړئ، او په څارنه کې روښانه کړئ چې تصدیق د خدمت د بندېدو له کبله ناکامېږي نه د کاروونکو د غلط ټایپ له کبله۔

دوه عادتونه پاتې برخه سمه ساتي۔ که RADIUS واکمن وي، باید یوازینی ځای وي چې پټنوم پکې ازمویل کېږي، ځکه سیوری جدول یوې پوښتنې ته دوه ځوابونه جوړوي او دویم یې هغه برید مخ دی چې هیڅوک نه ګوري۔ او په یاد ولرئ چې قلاب په هرې بیا هڅه کې بیا رابلل کېږي، نو ورو سکریپټ له بې صبره کلاينټ سره د پټنوم اټکل لپاره پیاوړی کوونکی شي پرته له دې چې د RADIUS خوا ته ځنډ یا تګلاره ورزیاته کړئ۔

کله چې سند ورک شي تاسو له څه تېرېږئ

د دې بڼې ډېر ځای پر ځای کول د کلاينټ سند ازموینه بشپړه بندوي، او کارنوم او پټنوم د کلاينټ ټول ادعا کوي۔ له دې امستنې سره هغه څه ورکېږي چې د سند پر بنسټ هویت دی۔ چینل کوډ شوی پاتې کېږي، مګر یوازینی شی چې کلاينټ نوموي د RADIUS حکم دی۔ هر هغه شی چې مخکې د سند موضوع ته تکیه و، اوس باید کارنوم ته تکیه وکړي۔

د کنټرول چینل ساتنه په خپل ځای وساتئ تر څو نا تصدیق شوی سیال د لاس ورکولو پلټنه یا سېلاب نه شي کولی، او کله چې د هر کارونکي تنظیمات عمومي نوم ته تکیه وي username-as-common-name وکاروئ۔ مدیریت شوي دروازې دا اکثراً بل ډول حل کوي، د سند تصدیق په هغې دروازې پای ته رسوي چې له RADIUS سره EAP-TLS خبرې کوي، او په دې حالت کې له دې سرور لارښوونو هېڅ یوه نه تطبیقېږي۔ د خپل پلیټفارم مستند شوی بڼه کاپي کړئ، نه د ګاونډي محصول۔ مهمې لارښوونې دومره بېلې دي چې ګډول یې داسې تنظیمات جوړوي چې پارس شي او بیا هیڅوک تصدیق نه کړي۔