ගිණුම් අගුළු දැමීම සහ ලිපින තහනම: OpenVPN ඇත්තටම ගණන් කරන්නේ කොහේද

ලිපිනයක් අවහිර කිරීම සහ ගිණුමක් අගුළු දැමීම වෙනස් යාන්ත්‍රණ දෙකක් වන අතර ඒවා ප්‍රතිවිරුද්ධ දිශාවලට අසාර්ථක වේ. ලිපින තහනම මූලාශ්‍රයක් නතර කරන අතර ඉලක්ක ගිණුම වෙනත් තැනකින් ළඟා විය හැකිව පවතී; ගිණුම් අගුළු දැමීම එම අනන්‍යතාව සෑම තැනකම නතර කරයි, පරිශීලකයාගේම පරිගණකයේද.

PAM වෙත සත්‍යාපනය පවරන VPN එකකට, ගණන යනු PAM තොගය ළඟා වන තැනයි, සවන්දෙන්නා සටහන් කළ දේ නොවේ.

ගණක දෙක, වෙනස් විපතට පත් දෙදෙනෙක්

වේග සීමකය මූලාශ්‍රයක් දෙස බලා මෑතකදී එයින් කොපමණ උත්සාහ පැමිණියේදැයි අසයි. අගුළු දැමීම අනන්‍යතාවක් දෙස බලා එම ගිණුම කොපමණ අසාර්ථකතා එක් රැස් කළේදැයි අසයි. පළමුවැන්න ලබා ගැනීමේ හැකියාව ආරක්ෂා කරයි, දෙවැන්න සාක්ෂිය; එකක් අනෙක ආදේශ නොකරයි.

එබැවින් අසාර්ථකතා පහකට පසු අපි IP අවහිර කරමු යන වාක්‍යය සාක්ෂි පිරවීමේ වාර්තාවට පිළිතුරක් නොවේ. ප්‍රහාරකයා මූලාශ්‍ර මාරු කරයි, එකකට ටික උත්සාහ ලැබේ, ගිණුම කිසිදා ගණන් නොවේ. ඊට ප්‍රතිවිරුද්ධව, මූලාශ්‍ර පාලනයක් නොමැති අගුළු දැමීම ප්‍රහාරකයාට හිතාමතා අසාර්ථක වී ගිණුම අසීමිතව අගුළු දමා තැබීමට ඉඩ දෙයි.

පාලන දෙකට වෙනස් ප්‍රතිසාධන කථා ඇත. ලිපින තහනම කිසිවෙකු සිතිය යුතු නොවන කාල සටහනකින් අවසන් වේ; ගිණුම් අගුළු දැමීමට පරිපාලකයෙකු, ලේඛනගත රැඳී සිටීමේ කාලයක් හෝ ස්වයං සේවා යළි පිහිටුවීමක් අවශ්‍ය විය හැක.

දැනටමත් ගණන දරන ගබඩාව සොයන්න

කිසිවක් එකතු කිරීමට පෙර අසාර්ථකතා ගබඩාවක් දැනටමත් තිබේදැයි සොයන්න. ස්ථානීය Linux ගිණුම, නාමාවලි සේවාව සහ බාහිර අනන්‍යතා සපයන්නා එක් එක් අයගේ ගණන දරයි, ඔවුන් ඉදිරියේ තැබූ PAM මොඩියුලය පළමුවැන්න දිගු කරනවා වෙනුවට දෙවැන්නක් සාදයි.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

VPN ඇත්තටම නම් කරන සේවා ගොනුව කියවා එහි ඇතුළත් කිරීමේ පේළි අනුගමනය කරන්න. බොහෝ බෙදාහැරීම්වල VPN සේවාව පොදු ගොනුවක් ඇතුළත් කරයි, එනම් ඔබ සකසන ගණන SSH සහ ස්ථානීය පිවිසුම්වලටද අදාළ වේ.

නාමාවලිය දැනටමත් අගුළු දැමීමක් බලාත්මක කරන්නේ නම්, ප්‍රයෝජනවත් ප්‍රශ්නය වන්නේ PAM සංවාදය එම තීරණයට පැමිණෙන්නේ කෙසේද සහ VPN එය වාර්තා කරන්නේ කෙසේද යන්නයි. ඉහළින් එකතු කළ ස්ථානීය ගණන නාමාවලියේ ගණකය නොවේ, ප්‍රතිපත්ති දෙක ගිණුම විවෘත වන විට එකඟ නොවිය හැක.

pam_faillock ට ඇමතුම් ස්ථාන තුනක් ඇත, එකක් නොවේ

මොඩියුලය පිටපත් කළ පේළියක් බොහෝ විට අඳුරු කරන ක්‍රියා තුනක් වෙන් කරයි: ගිණුම දැනටමත් අගුළු දමා ඇත්දැයි පරීක්ෂා කිරීම, අසාර්ථකතාවක් සටහන් කිරීම සහ සාර්ථකත්වයෙන් පසු ඉතිහාසය මකා දැමීම.

පැරණි ගණන් කිරීමේ මොඩියුලයකින් සංක්‍රමණය සාමාන්‍යයෙන් වැරදි වන්නේ මෙහිදීය. ක්‍රියාකාරී pam_tally2 උදාහරණයකින් පේළියක් pam_faillock තොගයට පිටපත් කිරීම නැවත නම් කිරීමක් නොවේ; ලේඛනගත වින්‍යාසය වෙනස් වන අතර වැරදි තැනක තැබූ ඇමතුමක් කිසිදා පරීක්ෂා නොකර අසාර්ථකතා සටහන් කළ හැක.

faillock --user alice
faillock --user alice --reset

පරීක්ෂණ මෙවලම ගණකය සැබෑදැයි බැලීමට වේගවත්ම මාර්ගයයි: එය ගිණුමක සටහන් කළ අසාර්ථකතා පෙන්වන අතර ඒවා මකා දැමිය හැක. පාලිත අසාර්ථකතාවක් එම ප්‍රතිදානය වෙනස් නොකරන්නේ නම්, ඇමතුමේ ස්ථානය වැරදිය.

විශේෂිත සේවා නාමය හුදකලා කිරීමක් නොවේ

VPN එකකට තමන්ගේම PAM සේවා ගොනුවක් දීම අපේක්ෂිත ප්‍රතිපත්තිය දෘශ්‍යමාන කරයි, නමුත් බලපෑම සීමා නොකරයි. පොදු ගොනුවක ඕනෑම ඇතුළත් කිරීමක් එම ගොනුව කරන දේ ගෙන එයි, සම්පූර්ණ පද්ධතියට අදාළ ගණන් ද ඇතුළුව.

අගුළු දැමීම VPN ප්‍රවේශයට පමණක් ආවරණය කරන්නේද නැතහොත් එම ගිණුම සත්‍යාපනය කරන සෑම සේවාවකටමද යන්න පැහැදිලිව තීරණය කරන්න. පිළිතුරු දෙකම ආරක්ෂා කළ හැක; අසාර්ථකත්වය වන්නේ එකක් තෝරාගත් බව විශ්වාස කරන අතරේ තොගය අනෙක ක්‍රියාත්මක කිරීමයි.

පසුව පිරිවැය සලකා බලන්න. ප්‍රහාරකයෙකුට අගුළු දැමීම ඇති කළ හැක, දුක් විඳින පරිශීලකයා ගිණුමේ හිමිකරුය. සීමාව, රැඳී සිටීමේ කාලය සහ පරිපාලන ප්‍රතිසාධන මාර්ගය ප්‍රතිපත්තියේ කොටසකි, සිද්ධියක් අතරතුර VPN නැවත වින්‍යාස කිරීම මත ප්‍රතිසාධනය රඳා නොපවතින්නට ඕනෑ.

පිළිකුලක් නොව අනුපිළිවෙල පිළිගන්න

අනුමත සැලැස්මක් යටතේ නම් කළ අනන්‍යතා සමඟ පරීක්ෂා කරන්න, තනි සිදුවීමක් වෙනුවට දාමයක් පරීක්ෂා කරන්න: වලංගු ගිණුමක් සත්‍යාපනය කරයි, හිතාමතා වැරදි මුරපදයක් ගණකය ගෙන යයි, වින්‍යාස කළ අගුළු දැමීම ක්‍රියාත්මක වේ, ලේඛනගත ප්‍රතිසාධනය ප්‍රවේශය ආපසු ලබා දෙයි.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

සාර්ථකත්වයේ හැසිරීම අසාර්ථකත්වය තරම් සැලකිල්ලෙන් බලන්න. සාර්ථක පිවිසුමක් ඉතිහාසය මකා නොදමන්නේ නම්, සාමාන්‍ය වැරදි සෙමින් එක් රැස් වීමෙන් පසු ගිණුම අගුළු දමනු ඇත. සෑම සේවාවකින්ම සියල්ල මකා දමන්නේ නම්, ගණකය ප්‍රතිපත්තිය පවසන ප්‍රමාණයට වඩා දුර්වලය.

අවසාන වශයෙන්, ජයග්‍රහණය ප්‍රකාශ කිරීමට පෙර අධීක්ෂණය නොකරන සේවාදායකයන් නතර කරන්න. සුරකින ලද සාක්ෂිය පසුබිමින් නැවත උත්සාහ කර ප්‍රතිසාධනයෙන් මිනිත්තු කිහිපයකින් නැවත අසාර්ථකතා සාදා ගිණුම නැවත අගුළු දමනු ඇත. මූලාශ්‍ර පාදක වේග සීමාව අමතර පාලනයක් ලෙස පැවතිය හැක, නමුත් එය ගිණුම් ප්‍රතිපත්තිය නොවේ.