.ovpn ගොනුව සංස්කරණය කිරීමෙන් සර්වරයේ MFA සක්‍රීය කළ නොහැක්කේ ඇයි
සේවාදායකයාගේ ඉල්ලීම පෙන්වන්නේ සේවාදායකයා ඇසූ බව පමණි. සර්වරය විසින් අනන්‍යතාවය ලියාපදිංචි කර කේතය සත්‍යාපනය කළ යුතු අතර, වැරදි කේතයක් ඔබ එය MFA ලෙස හැඳින්වීමට පෙර අසාර්ථක විය යුතුය.
ඔබ පැතිකඩකට auth-user-pass එකතු කර නැවත සම්බන්ධ වන විට සේවාදායකයා පරිශීලක නාමය සහ මුරපදය ඉල්ලයි. MFA සක්‍රීය බව පෙනේ. පසුව ඔබ වැරදි ගිණුමක කේතයක් හෝ මිනිත්තු දහයකට පෙර කල් ඉකුත් වූ කේතයක් ඇතුළත් කළත් ටනලය ඉහළ යයි. එයයි රෝග ලක්ෂණය: සේවාදායකයා වෙනස් විය, සර්වරය නොවේ. එක්-වර මුරපදයක් යනු සර්වරයේ සත්‍යාපකයෙක් එය ඉල්ලා සිටින අනන්‍යතාවයට වලංගු දැයි තීරණය කරන විට පමණක් සාධකයකි.
ඉල්ලීම සනාථ කරන්නේ සේවාදායකයා ඇසූ බව පමණි, ඊට වඩා නොවේ
.ovpn ගොනුව සේවාදායක පැත්තේ ලේඛනයකි. එයට සේවාදායකයාට අක්තපත්‍ර ඉල්ලීමට, ඒවා හැඹිලිගත කිරීමට හෝ එය නැවැත්වීමට පැවසිය හැක. නමුත් එයට පරිශීලකයෙකු ලියාපදිංචි කිරීමට, PAM මොඩියුලයක් ස්ථාපනය කිරීමට, හෝ සර්වරය දැන් පරීක්ෂා නොකරන දෙවන සාධකයක් ඉල්ලීමට බල කිරීමට නොහැක.
දුරකථනයක සත්‍යාපන යෙදුමක් ස්ථාපනය කිරීමද එම සම්බන්ධතාවය නොසාදයි. Google Authenticator PAM ව්‍යාපෘතිය OTP සත්‍යාපන සංරචකයක් වන අතර එය OpenVPN පිටුපස තැබිය හැක; එය ආයාත කළ පැතිකඩකට Google ගිණුම් පිවිසුම ඇලවීමේ මාර්ගය නොවේ.
ලියාපදිංචිය යනු පැතිකඩකට කළ නොහැකි කොටසයි
TOTP සඳහා සත්‍යාපන යෙදුම සහ එහි සත්‍යාපකය අතර බෙදාගන්නා ලියාපදිංචි ද්‍රව්‍ය අවශ්‍ය වේ. දුරකථනයේ ඇති ඉලක්කම් හය ප්‍රතිදානයයි; ඒවා පිටුපස ඇති බීජය රහසයි, එය එක් අනන්‍යතාවයකට අයත් වේ.
එබැවින් ක්‍රියාකරුට නිවැරදි බීජය නිවැරදි VPN අනන්‍යතාවයට බැඳෙන ලියාපදිංචි ක්‍රියාවලියක් අවශ්‍ය වන අතර, ඊට අමතරව නැති වූ දුරකථනයක් සඳහා සත්‍යාපිත ප්‍රතිස්ථාපන මාර්ගයක් ද අවශ්‍ය වේ. පරිශීලකයින්ට තම නමින් ගොනුවක් උඩුගත කිරීමට ඉඩ දීම ලියාපදිංචිය ගිණුම් අත්පත් කර ගැනීමේ අවස්ථාවක් බවට පත් කරයි, උඩුගත කිරීම සංකේතනය කිරීම එය වෙනස් නොකරයි.
PAM පදනම් වූ නිර්මාණයකට සෑම VPN පරිශීලකයෙකුටම වෙනම Unix ගිණුමක් සෑදීමට අවශ්‍ය නැත. මොඩියුලයේ ලේඛන විකල්ප රහස් මාර්ග සහ ගොනු ප්‍රවේශය සඳහා කැප වූ ගිණුමක් සඳහා සහාය දක්වයි, එය ගොනු පද්ධති අනන්‍යතාවයකි, සත්‍යාපනය වන පිවිසුම් අනන්‍යතාවය නොවේ.
සාමාන්‍ය වැරැද්ද නම් එක් පරිශීලක උදාහරණයකින් පිටපත් කළ, එක් පරිශීලක නාමයකින් අවසන් වන ස්ථිර රහස් මාර්ගයකි. එය එක් අනන්‍යතාවයක ප්‍රදර්ශනයකි, පරිශීලකයා අනුව සෙවීමක් නොවේ, සහ සෑම ඉල්ලීමකටම එය භාවිත කිරීම කිසිවෙකුට ස්වාධීනව ලියාපදිංචි සත්‍යාපන යෙදුමක් ලබා නොදේ. අනන්‍යතා සිතියම ලියන්න, බීජ ගොනු ආරක්ෂා කරන්න, සහ මුරපද, සහතික සහ ගිණුම් පරීක්ෂා එකම සත්‍යාපන තොගයේ තබන්න.
PAM තොගය කියවා ඇත්තටම අවශ්‍ය කුමක්දැයි බලන්න
account required pam_permit.so වැනි පේළියක් ගිණුම් සුදුසුකම ක්‍රියාත්මක නොකරයි, සාධකයක්ද එකතු නොකරයි. එය එම PAM ගිණුම් කළමනාකරණ අදියරට අවසර දෙයි, එය අදියරක් ගැන ප්‍රකාශයකි, ඔබේ පරිශීලකයින් ගැන නොවේ.
එයම නම්‍යශීලී ලියාපදිංචි විකල්ප සඳහාද අදාළ වේ. ලියාපදිංචි රහසක් නොමැති පරිශීලකයින් පිළිගැනීම හිතාමතා ගත් යෙදවීමේ තීරණයක් විය හැක, නමුත් එය MFA අනිවාර්ය බවට සාක්ෂියක් නොවේ, සහ අවසාන දිනයක් සහිත තාවකාලික ව්‍යතිරේකයක් ලෙස ලිවිය යුතුය.
සේවාදායකයාගේ අන්තර්ක්‍රියාව සර්වරයේ නිර්මාණයට ගැළපෙන්න
auth-user-passඑම නියෝගය පරිශීලක නාමය සහ මුරපද ආදානය ඉල්ලයි. එය PAM වින්‍යාස නොකරයි, ලියාපදිංචි වාර්තාවක් සාදන්නේ නැත, සහ මුරපද ක්ෂේත්‍රයේ TOTP අගයක් ඇති බව සර්වරයට නොපවසයි. සර්වර ඒකාබද්ධතාවය සහ සේවාදායකයා යෙදවීම ඇත්තටම අනුග්‍රහය දෙන අන්තර්ක්‍රියාවකට එකඟ විය යුතුය: අභියෝගයක්, ලේඛනගත සංයුක්ත අක්තපත්‍ර ආකෘතියක්, හෝ නිෂ්පාදන-විශේෂිත ගලා යාමක්.
සේවාදායකයා එක් ක්ෂේත්‍රයක් පෙන්වන නිසා මුරපදයට කේතයක් එකතු නොකරන්න. එය ක්‍රියා කරන්නේ සර්වරයේ ප්ලගීනය හරියටම එම ආකෘතිය අපේක්ෂා කරන තැන පමණක් වන අතර, අනෙක් සෑම තැනකම එය ව්‍යාකූල ලෙස අසාර්ථක වේ.
බීජ සහ QR ද්‍රව්‍ය බෙදාගත් පැතිකඩ සහ සාමාන්‍ය රෝග නිර්ණය ලොග් වලින් ඈත් කරන්න. සත්‍යාපිත පිවිසුම් නාලිකාව හරහා ඉදිරිපත් කරන කේතය පාලිත ලියාපදිංචියේදී ලබා දුන් බීජයට සමාන වස්තුවක් නොවේ, ඒවා උපකාරක ටිකට්පතක මිශ්‍ර කිරීම රහස් පිටවන මාර්ගයයි.
නැවත සම්බන්ධ වීම, ටෝකන සහ කරුණු තීරණය කරන පරීක්ෂණය
පළමු සාර්ථක පිවිසුමෙන් පසු සිදුවන්නේ කුමක්දැයි සැලසුම් කරන්න. කලින් පිළිගත් කේතයක් ඊළඟ සත්‍යාපනයේදී කල් ඉකුත් වූ හෝ පුනරාවර්තනයක් ලෙස ප්‍රතික්ෂේප විය හැක. auth-nocache අක්තපත්‍ර රඳවා ගැනීම පාලනය කරන අතර MFA ස්ථාපනය නොකරයි, සහ reneg-sec 0 සංසද සංවාදවල කොපමණ වාරයක් දිස්වුවත් TOTP සහායේ අර්ථ දැක්වීම නොවේ.
සමහර යෙදවීම් මූලික පරීක්ෂාවෙන් පසු සත්‍යාපන ටෝකන නිකුත් කරන්නේ නැවත සම්බන්ධ වීම් නැවත නොඇසීමටය. එය තමන්ගේම වලංගුතා කවුළුවක් සහ අවලංගු කිරීමේ කතාවක් සහිත නිර්මාණ තීරණයකි, ඔබට උරුම වන පෙරනිමියක් නොවේ.
පසුව පිවිසුම් ප්‍රතිපත්තිය මිනිසුන් ඇත්තටම භාවිත කරන සේවාදායකයා සමඟ පරීක්ෂා කරන්න. නිවැරදි මුරපදය, සහතිකය සහ වත්මන් කේතය ඇති ලියාපදිංචි පරිශීලකයෙකු සම්බන්ධ විය යුතුය. වැරදි කේතයක්, ලියාපදිංචියක් නැති පරිශීලකයෙක් සහ තහනම් ගිණුමක් එක් එක් අසාර්ථක විය යුතු අතර, හේතුව සර්වර ලොගයේ දැකිය හැකි විය යුතුය. එම ප්‍රතික්ෂේප කිරීම් ඔබ දකින තෙක්, ඔබට ඇත්තේ ඉල්ලීමක් මිස ප්‍රතිපත්තියක් නොවේ.