OpenVPN හි LDAP සත්‍යාපනය ක්‍රියා කරයි නමුත් කණ්ඩායම් පරීක්ෂාව අසාර්ථක වේ: කොහේද බැලිය යුත්තේ

සත්‍යාපනය සමත් විය හැකි අතර කණ්ඩායම් පරීක්ෂාව සියලු දෙනා ප්‍රතික්ෂේප කරයි. Authorization කොටස, සාමාජික ගුණාංගය සහ නාමාවලි අන්ත ලක්ෂ්‍යය එකින් එක පරීක්ෂා කරන්න.

අක්තපත්‍ර සමත් වේ, උමං මාර්ගය ඉහළ යාම ආරම්භ වන අතර පසුව සැසිය මුරපදය ගැන නොව කණ්ඩායම ගැන පණිවිඩයක් සමඟ අසාර්ථක වේ. එම සංයෝගය අසාර්ථකත්වය LDAP ප්ලගීනයේ කාර්යයේ දෙවන අර්ධයට තබයි: බන්ධනය සහ මුරපද පරීක්ෂාව සාර්ථක විය, ඊළඟට එන සාමාජිකත්ව තීරණය නොවීය. දෙකොටසම එකම වින්‍යාස කොටසින් කියවයි, එනිසා එක තැනක නිවැරදි කිරීම අනෙක අස්පර්ශව තැබිය හැක. පියවර නම් කරන ලොග් පේළියෙන් ආරම්භ කරන්න, ඔබ අහම්බෙන් පරීක්ෂා කරන ගිණුමෙන් නොව.

ප්‍රතික්ෂේපය අවසර දීමේ පිළිතුරක් ලෙස සලකන්න

ප්ලගීනය සේවා බන්ධනයක් සිදු කරයි, ගිණුම සොයයි, ලබා දුන් මුරපදය සත්‍යාපනය කරයි, පසුව එම ගිණුම අවසර ලත් කණ්ඩායමකට අයත්දැයි අසයි. ඒවා වෙනස් ක්‍රියාකාරකම් හතරක් වන අතර අවසාන එක පමණක් කණ්ඩායම් ගැනය. එනිසා සාර්ථක බන්ධනයකින් පසු පැමිණෙන ප්‍රතික්ෂේපය මුරපදය ගැන කිසිවක් නොකියයි, සේවාලාභියා සාමාන්‍ය සත්‍යාපන දෝෂයක් පෙන්වූ විට පවා. වින්‍යාසය වෙනස් කිරීමට පෙර ප්ලගීනයේ ලොග් මට්ටම ඉහළ නැංවීම එම හතර ප්‍රතිදානයේ වෙන් කරයි.

කණ්ඩායම් ඇගයීමම සොයන්න. කණ්ඩායම් විමසුමක් කිසිසේත් නොපෙනේ නම්, අවසර කොටසට ළඟා නොවේ, එයින් සාමාන්‍යයෙන් අදහස් වන්නේ උපදෙසක් එය හිමි කොටසින් පිටත පවතින බව හෝ අනිවාර්ය විකල්පයක් නැති බවය. විමසුම පෙනී කිසිවක් ආපසු නොදෙන විට, අන්ත ලක්ෂ්‍යය හෝ පෙරහන ඔබ අදහස් කළ ප්‍රශ්නයට වඩා වෙනස් ප්‍රශ්නයකට පිළිතුරු දෙයි.

සාමාජිකත්වය පෙරහනේ ජීවත් වේද කණ්ඩායම් කොටසේද යන්න තීරණය කරන්න

සහාය දක්වන ආකාර දෙකක් ඇත, ඒවා මිශ්‍ර කිරීම ක්‍රියා කරන වින්‍යාසයක් ක්‍රියා කිරීම නවත්වන මාර්ගයයි. පළමුවැන්න පරිශීලක වස්තුවේ ගුණාංගයක් ඉල්ලා සාමාජිකත්වය පරිශීලක සෙවීමට තල්ලු කරයි; දෙවැන්න පරිශීලක සෙවීම එලෙසම තබා පසුව ප්ලගීනයට කණ්ඩායම් වස්තුව සොයන්නට සලස්වයි. එක් එක් යෙදවුම සඳහා එකක් තෝරන්න සහ ඔබ තෝරාගත්තේ කුමක්දැයි ලියන්න.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(&(sAMAccountName=%u)(memberOf=CN=VPN Access,OU=Groups,DC=example,DC=org))"
    RequireGroup false
</Authorization>

එම ආකාරයෙන් පෙරහන සියල්ල තීරණය කරයි, එනිසා RequireGroup false විය යුතුය, නැතහොත් ප්ලගීනය පෙරහන කිසිදා සඳහන් නොකළ කණ්ඩායම් වස්තුවක් සොයන්නට යයි. පෙරහනේ ගුණාංගය පරිශීලක වස්තුවේ පැවතිය යුතු අතර පිරවිය යුතුය, කණ්ඩායම් කැදැලි වූ පසු එය සහතික නොවේ.

අනෙක් ආකාරය සෙවීම සරලව තබා ඉන් පසු කණ්ඩායම් සෙවීමක් එකතු කරයි. කණ්ඩායම් වස්තුව පැහැදිලිව නම් කරන අතර ප්ලගීනය පරිශීලකයා නාමාවලිය ඒ සඳහා ආපසු දෙන සාමාජිකයන් සමඟ සසඳයි. පරිශීලක පෙරහනේ කිසිවක් වෙනස් නොවේ, එය වෙනත් කණ්ඩායමක් කණ්ඩායම කළමනාකරණය කරන විට මෙම ආකාරය පරීක්ෂා කිරීම පහසු කරයි.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(sAMAccountName=%u)"
    RequireGroup true
    Group        "CN=VPN Access,OU=Groups,DC=example,DC=org"
</Authorization>

අන්ධ ස්ථානය පොදුය: සරල සාමාජිකත්ව සංසන්දනය කැදැලි කණ්ඩායම් විහිදුවන්නේ නැත, එනිසා මව් කණ්ඩායමක් හරහා ප්‍රවේශය එන ගිණුම අසාර්ථක වන අතර කොන්සෝලය තවමත් සාමාජිකත්වය පෙන්වයි. Active Directory කණ්ඩායමේ member නිරාවරණය කරයි, වෙනත් ක්‍රම uniqueMember භාවිතා කරයි, වැරදි ගුණාංගයට යොමු කිරීම දෝෂයක් වෙනුවට හිස් ප්‍රතිඵලයක් ලබා දෙයි.

කණ්ඩායම් වස්තුව රඳවා ගන්නා අන්ත ලක්ෂ්‍යයක් තෝරන්න

URL ප්ලගීනය කුමන නාමාවලියෙන් අසයිද යන්න තීරණය කරයි, 389 තොටුපළේ වසම් පාලකයා තම නාමකරණ සන්දර්භය සඳහා පමණක් පිළිතුරු දෙයි. 3268 තොටුපළේ ගෝලීය නාමාවලිය මුළු වනාන්තරය සඳහා පිළිතුරු දෙයි, කියවීමට පමණක් සහ අර්ධ ගුණාංග කුලකයක් සමඟ. ගිණුම් එක් වසමක සහ VPN කණ්ඩායම තවත් එකක සිටින විට, තනි-වසම් විමසුමකට පරිශීලකයා සොයාගෙනත් සාමාජිකත්වය අතපසු කළ හැක. URL එක නාමාවලි තොටුපළට ගෙන යාම ප්‍රතික්ෂේපය විසඳන අවස්ථාව එයයි, මිනිසුන් අධික ලෙස සාමාන්‍යකරණය කරන අවස්ථාවද එයයි.

අර්ධ ගුණාංග කුලකය සීමාවයි: නාමාවලිය රඳවා නොගන්නා ගුණාංගයක් පෙරහන් කළ නොහැක, එනිසා එම වෙනසම එක් යෙදවුමක් ක්‍රියා කරවා අනෙකක් කිසිවක් ආපසු නොදෙන්නට හැක. කොටස නැවත ලිවීමට පෙර සැබෑ පරිශීලකයාට සහ කණ්ඩායමට අන්ත ලක්ෂ්‍යය ඇත්තෙන්ම කුමක් ආපසු දෙයිදැයි තහවුරු කරන්න. යොමු කිරීම් සහ TLS නැවතත් වෙනස් කරුණු වේ, මන්ද යොමු කිරීමක් අනුගමනය කළ යුතු අතර TLS අවශ්‍ය අන්ත ලක්ෂ්‍යයකට ගැළපෙන විශ්වාස ගොනු අවශ්‍යය.

ගිණුම් තත්ත්වය සහ සෙවුම් පරාසය ඒවායේම ක්ෂේත්‍රවල තබන්න

අක්‍රීය ධජය පෙරහනට අයත් වේ, කණ්ඩායම් පරීක්ෂාවට නොවේ. Active Directory හි එය userAccountControl හි දෙවන බිටුවයි, එම කොන්දේසිය නොමැතිව වලංගු මුරපදයක් සහිත අක්‍රීය ගිණුමක් සත්‍යාපනය වී පසුව කණ්ඩායම් පියවරේදී අසාර්ථක වේ, එය අවසර දීමේ දෝෂයක් ලෙස පෙනේ. සෙවුම් පරාසය මූලික DN ට අයත් වේ, මන්ද වසම් මූලයෙන් ආරම්භ කිරීම මන්දගාමී වන අතර ඔබ ආවරණය කිරීමට අදහස් කළ සංවිධාන ඒකකයෙන් පිටත වස්තු සමඟ ගැළපිය හැක.

බන්ධන ගිණුමේ අයිතිවාසිකම් ද පටුව තබන්න. පුළුල් නාමාවලි අයිතිවාසිකම් වැරදි ලෙස වින්‍යාස කළ පෙරහනක් සාර්ථක විමසුමක් බවට පත් කර කිසිවෙකු ගිණුම විගණනය කරන තෙක් දෝෂය සඟවයි. සාමාජිකත්වය නාමාවලියේම වෙනස් කරන්න, කිසිදා දේශීය ව්‍යතිරේක ලැයිස්තුවක නොව, එවිට ප්‍රවේශය ඉවත් කිරීමට ගිණුම අක්‍රීය කිරීම ප්‍රමාණවත් වේ. කණ්ඩායම වෙනත් කණ්ඩායමක් කළමනාකරණය කරන්නේ නම්, ඊට එරෙහිව පෙරහනක් ලිවීමට පෙර ඔවුන් පුරවන ගුණාංගය ගැන එකඟ වන්න.

ගිණුම් තුනකින් ප්‍රතිඵලය ඔප්පු කරන්න

වින්‍යාසය අනන්‍යතා තුනකට එරෙහිව ධාවනය කරන්න: අවසර ලත් සාමාජිකයෙක්, කණ්ඩායමෙන් පිටත වලංගු ගිණුමක් සහ අක්‍රීය කළ ගිණුමක්. තුනම ප්‍රතික්ෂේප වුවහොත් බන්ධනය හෝ කණ්ඩායම් විමසුම කැඩී ඇත; තුනම පිළිගත්තොත් කිසිදු කණ්ඩායම් කොන්දේසියක් යෙදෙන්නේ නැත. මිශ්‍ර ප්‍රතිඵලය පමණක් ඔබට වැදගත් අවස්ථා වින්‍යාසය වෙන් කරන බව ඔප්පු කරයි.

ප්ලගීනයට දොස් පැවරීමට පෙර එම පිළිතුරු තුනම කෙලින්ම නාමාවලියෙන් කියවන්න. පළමු විමසුම පෙරහන රඳා පවතින කණ්ඩායම් ගුණාංගය පෙන්වයි, දෙවැන්න ගිණුම් පාලන අගය පෙන්වයි. ඔබේම මූලික DN, ගිණුම සහ අන්ත ලක්ෂ්‍යය ආදේශ කරන්න:

ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=alice)" memberOf
ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=bob)" userAccountControl

memberOf හිස්ව ආපසු එන පරිශීලකයා නාමාවලි කරුණක් මිස ප්ලගීන දෝෂයක් නොවේ, අක්‍රීය කිරීමෙන් පසුවත් සත්‍යාපනය වන ගිණුමක් යනු පෙරහනට ගිණුම් පාලන කොන්දේසිය මඟ හැරී ඇති බවයි. පළමුව එම සාක්ෂිය නිවැරදි කරන්න, පසුව ගිණුම් තුනේ පරීක්ෂණය නැවත ධාවනය කරන්න. අසාර්ථක පියවර නම් කළ ලොග් පේළිය වින්‍යාස වෙනස්කමට යාබදව තබන්න, ඊළඟ පුද්ගලයාට සෙවීම නැවත නොකර අවසර දීම සත්‍යාපනයෙන් වෙන් කළ හැකි වන පරිදි.

අදාළ ලිපි