OpenVPN PAM: login තර්කය සේවාවක් මිස පරිශීලකයෙක් නොවේ

සේවාදායකයේ පරිශීලකයෙක් එකතු කරන ලදී, මුරපදය නිවැරදිව ටයිප් කරන ලදී, නමුත් සම්බන්ධතාවය තවමත් AUTH_FAILED සමඟ අවසන් වේ. බොහෝ විට හේතුව ප්ලගින් පේළිය පැහැදිලි කරයි: ප්ලගින් මාර්ගයට පසුව එන වචනය PAM සේවා නාමයක් වන අතර, කුමන මොඩියුල කට්ටලය ප්රශ්නයට පිළිතුරු දෙන්නේද යන්න තීරණය කරන්නේ එයයි. එය පරිශීලක නාමයක් නොවේ, OpenVPN තමන්ම කියවන මුරපද ගොනුවකට යොමුවක් ද නොවේ.

දෙවන වචනය තෝරන්නේ කුමක්ද

සැකසුම් පේළිය ප්ලගින් මාර්ගයක් සහ එක් තර්කයක් ගනී:

plugin /usr/lib/openvpn/plugins/openvpn-plugin-auth-pam.so openvpn

එම තර්කය සේවා නාමය ලෙස PAM පුස්තකාලයට ලබා දෙන බැවින් /etc/pam.d/openvpn හි ඇති තට්ටුව ක්රියාත්මක වේ. එහි login ලියුවොත් ඒ වෙනුවට අන්තර්ක්රියාකාරී පිවිසුම් ප්රතිපත්තිය ක්රියාත්මක වේ, ඔබේ බෙදාහැරීමේ එම ප්රතිපත්තියට ඇතුළත් මොඩියුල සමඟ.

ස්ථාපිත පැකේජය ලබා දෙන ප්ලගින් මාර්ගය භාවිත කරන්න, වෙනත් සත්කාරකයකින් පිටපත් කළ මාර්ගයක් නොව. ගොනු නාමය සහ නාමාවලිය බෙදාහැරීම් අතර වෙනස් වන අතර, වැරදි මාර්ගය සත්යාපනයේදී නොව ආරම්භයේදී ප්ලගින් පූරණ දෝෂයක් සමඟ අසාර්ථක වේ.

තට්ටුව සැබවින්ම ගිණුම් කියවන්නේ කොහෙන්ද

PAM යනු යවන්නෙකි. සේවා ගොනුව මොඩියුල පිළිවෙළින් ලැයිස්තුගත කරයි, පිළිතුරු දිය හැකි පළමුවැන්නා ප්රතිඵලය තීරණය කරයි. pam_unix අමතන තට්ටුව දේශීය ගිණුම් කියවයි; LDAP හෝ RADIUS මොඩියුලය අමතන තට්ටුව අක්තපත්ර සම්පූර්ණයෙන්ම වෙනත් තැනකට යවයි.

සේවා නාමය විසඳෙන ගොනුව, එය ඇතුළත් කරන සියල්ල සමඟ කියවන්න:

cat /etc/pam.d/openvpn
grep -H pam_ /etc/pam.d/openvpn /etc/pam.d/common-auth

තට්ටුව තීරණය නාමාවලියකට පවරන්නේ නම්, දේශීය ගිණුමක් එකතු කිරීමෙන් කිසිවක් නොවෙනස් වේ. එය දේශීය ගිණුම් කියවන්නේ නම්, නාමාවලියේ පරිශීලකයෙක් සෑදීමෙන් ද කිසිවක් නොවෙනස් වේ. ගිණුම තට්ටුව සොයන තැන තිබිය යුතුය, එවැනි වාර්තා බොහොමයක සම්පූර්ණ රෝග විනිශ්චය එයයි.

එක් උත්සාහයක්, ලොග දෙකක්

එක් අසාර්ථක සම්බන්ධතාවයක් දෙපසින්ම සම්බන්ධ කර බලන්න. OpenVPN ලොගය ප්ලගින් ප්රතිඵලය සහ සේවාලාභියාගේ ප්රතික්ෂේපය පෙන්වයි; පද්ධති සත්යාපන ලොගය කුමන මොඩියුලය ක්රියාත්මක වූයේද සහ එය කුමක් තීරණය කළේද පෙන්වයි. දෙකම එකම කාල කවුළුවක කියවීම තමයි නැති වූ සේවා ගොනුව පසුතල කාල ඉකුත් වීමෙන් වෙන් කරන්නේ. සත්යාපන ලොගයේ හිඩැසක් නම් තට්ටුවට කිසිසේත් නොපැමිණි බවයි.

journalctl -u openvpn-server@server --since "-2 min"
journalctl -t sshd -t sudo --since "-2 min"

VPN සහ තට්ටුව එකවර දෝෂ නිරාකරණය නොකිරීමට, PAM කතා කරන මෙවලමකින් සේවාව කෙලින්ම පරීක්ෂා කරන්න. එම සේවා නාමය සහ ගිණුම සමඟ කෙලින්ම පරීක්ෂාව සාර්ථක නම්, ගැටලුව ගිණුමේ නොව, ඩේමන් අක්තපත්ර ලබා දෙන ආකාරයට සීමා වේ.

pamtester openvpn alice authenticate

කොන්සෝලයේ ක්රියා කරන එම අක්තපත්රම භාවිතයෙන් කෙලින්ම පරීක්ෂාව අසාර්ථක නම්, තට්ටුව ඔබ උපකල්පනය කළ ගිණුම් මූලය කියවන්නේ නැත. එය සාර්ථක නම්, ප්ලගින් ගෙන යන සංවාදය සහ සේවාලාභියා ඇත්තටම යැවූ දෙය බලන්න. හිතාමතා වැරදි මුරපදයකින් ද වරක් ක්රියාත්මක කරන්න, එවිට ප්රතික්ෂේපය සහ මොඩියුල දෝෂය අතර වෙනස පෙනෙයි. එම ප්රතිඵල දෙක VPN ලොගයේ සමාන ලෙස පෙනෙන අතර මෙහි සම්පූර්ණයෙන්ම වෙනස්.

කැපවූ සේවාවක් login සංස්කරණයට වඩා හොඳයි

VPN හි අවශ්යතා අන්තර්ක්රියාකාරී පිවිසුමෙන් වෙනස් වූ විට, සාමාන්යයෙන් වෙනස් වේ, එයට තමන්ගේම සේවා ගොනුවක් දෙන්න. login හෝ common-auth සංස්කරණය කිරීම ඒවා ඇතුළත් කරන සෑම වැඩසටහනකගේම ප්රතිපත්තිය වෙනස් කරයි, තවද මේ හා සම්බන්ධ නැති පිවිසුම් ගැටලුවක් දෝෂ නිරාකරණය කරන ඊළඟ පුද්ගලයාට ඔබේ වෙනස්කම උරුම වේ.

අවශ්ය මොඩියුල කුඩා සේවා ගොනුවකට පිටපත් කරන්න, අනුපිළිවෙළ පැහැදිලිව තබන්න, හිමිකරු කවුරුන්ද සටහන් කරන්න. මුරපද යළි පිහිටුවීම ඵලදායී නොවන බව පෙනෙන විට පරීක්ෂා කළ යුත්තේ එම ගොනුවයි.

සේවාලාභියා යවන දේ, නොයවන දේ

සේවාලාභියා පරිශීලක නාමය සහ මුරපදය තමාට ආධාරක වන විමසුම හෝ ගොනුව හරහා ලබා දෙයි. සේවාදායක ප්ලගින් එම අගයන් PAM සංවාදයට ලබා දෙයි; ඒවා සේවාදායකයේ සැකසුමෙන් කියවන්නේ නැත. මුරපදයක් නිර්වචනය කරන බවට පෙනෙන සේවාදායක පැත්තේ පේළිය එය නොකරයි, profile සංස්කරණයකින් ගිණුමක් නොසෑදේ.

පරිශීලක නාමය සහ මුරපදය සේවාලාභී සහතික සමඟ සහභාගී විය හැක, PAM සක්රීය කිරීම සහතික තහවුරු කිරීම නැවැත්වීමට හේතුවක් නොවේ. යෙදවීම අදහස් කළ ස්ථර රඳවා ගිණුම් මූලය පමණක් නිවැරදි කරන්න.

පිළිගැනීම දෙපැත්තකින් සිදු වේ: අදහස් කළ ගිණුම සාර්ථක වේ, ප්රතික්ෂේප කළ යුතු ගිණුම තවමත් අසාර්ථක වේ. auth-pam ප්ලගින්හි README සේවා තර්කය සහ එය ඉදිරියෙන් තැබිය හැකි පසුතල විස්තර කරයි, ඔබ ගොඩනැගීමට යන සැකසුම තහවුරු කළ යුත්තේ එහිදීය.