PAM ප්‍රතිපත්තියකින් OpenVPN පිවිසුම් එක් කණ්ඩායමකට සීමා කරන්න
කැපවූ PAM සේවාවකට පද්ධති-පුළුල් පිවිසුම් නීති ස්පර්ශ නොකර VPN කණ්ඩායමේ සාමාජිකයින්ට පමණක් ඉඩ දිය හැක. auth-pam ප්ලගිනය එයට යොමු කර ප්‍රතිඵල පරීක්ෂා කරන්න.
සෑම ගිණුමකටම සාමාන්‍ය ලෙස පිවිසීමට ඉඩ තබන්න, නමුත් VPN භාවිත කළ හැක්කේ එක් කණ්ඩායමකට පමණි. PAM හට දෙවන මුරපද ගබඩාවක් නොමැතිව එම වෙනස ප්‍රකාශ කළ හැක, සහ OpenVPN ප්ලගිනය ඔබ අදහස් කරන පරීක්ෂණ පමණක් අඩංගු සේවාවකට යොමු කළ හැක. උපක්‍රමය වන්නේ පද්ධති-පුළුල් ස්ටැකය අහම්බෙන් උරුම නොකර එම සේවාව ගොඩනැගීමයි.
මෙහි ගමන ප්ලගිනයේ සේවා නාමයෙන් ආරම්භ වේ, ප්‍රතිපත්තියක් ගොඩනඟා පසුව වැදගත් ප්‍රතිඵල තුන පරීක්ෂා කරයි: සාමාජිකයෙක්, වලංගු මුරපදයක් ඇති බාහිර අයෙක් සහ නරක අක්තපත්‍රයක්.
වෙනම PAM සේවාවක් ඇයි
auth-pam ප්ලගිනය තර්කය ලෙස සේවා නාමයක් ගනී. එම නාමය /etc/pam.d යටතේ ගොනුවක් තෝරයි, සහ එම ගොනුවේ ස්ටැකය VPN පිවිසුමේදී ක්‍රියාත්මක වන්නේය. පද්ධති-පුළුල් පිවිසුමක් භාවිත කරන එම නාමයම ඔබ ලබා දුන්නොත්, එම ස්ටැකයේ සෑම තීරණයක්ම, පසුව අදාළ නොවන හේතූන් නිසා එකතු කළ ඒවා ද ඇතුළුව, ඔබ උරුම කර ගනී.
ඒ වෙනුවට කැපවූ සේවාවක් සාදන්න. දැනටමත් අපේක්ෂිත backend එකට අනුකූලව සත්‍යාපනය කරන ක්‍රියාකාරී ස්ටැකයකින් ආරම්භ කරන්න, උදාහරණයක් ලෙස දේශීය මුරපද ගොනුවක්, SSSD හෝ නාමාවලි සේවාවක්, පසුව සුදුසුකම් නීතිය එකතු කරන්න. හිස් ගොනුවකට පේළි දෙකක් පිටපත් කිරීම සාමාන්‍ය වැරැද්දයි: මුරපදය කල් ඉකුත් වීම, ගිණුම අගුළු දැමීම සහ අනෙකුත් පරීක්ෂණ ඔබ පිටපත් නොකළ ස්ටැකයේ තිබිය හැක.
සේවාව වෙන් කිරීම හානියේ පරාසය ද සීමා කරයි. හවුල් ස්ටැකයක VPN-පමණක් නීතියක් සැමට SSH හෝ කොන්සෝල ප්‍රවේශය ප්‍රතික්ෂේප කළ හැක, එය ප්‍රවේශ වෙනසක් බාධාවක් බවට පත් කරයි.
කණ්ඩායම් නීතිය ලිවීම
සුදුසුකම් පරීක්ෂාව අයත් වන්නේ ගිණුම් අදියරටය, අක්තපත්‍රය සත්‍යාපනය කළ පසුව. account required pam_succeed_if.so user ingroup vpnusers වැනි නීතියක් සත්‍යාපිත පරිශීලකයා එම කණ්ඩායමේ සාමාජිකයෙක් නම් පමණක් සැකසීම ඉදිරියට යාමට ඉඩ දෙයි.
එම පේළිය කැබැල්ලක් මිස සම්පූර්ණ සේවාවක් නොවේ. සෑම පිළිගත් මාර්ගයක්ම එයට ළඟා වන තැනට එය ඒකාබද්ධ කරන්න, සහ එය වටා ඇති පාලක ධජ පරීක්ෂා කරන්න. ස්ටැකයේ මුල් කාලයේ sufficient හෝ පැනීම් පාලනයක් ඔබේ නීතිය ක්‍රියාත්මක වීමට පෙර සැකසීම අවසන් කළ හැක, එය සීමාව යෝජනාවක් බවට පත් කරයි.
පුරුද්දට use_uid එකතු නොකරන්න. එය නොමැතිව මොඩියුලය සත්‍යාපනය වන පරිශීලකයා ඇගයයි; එය සමඟ මොඩියුලය OpenVPN ක්‍රියාවලිය ධාවනය වන ගිණුම ඇගයයි, එය සාමාන්‍යයෙන් root හෝ සේවා ගිණුමක් වන අතර එබැවින් පිවිසෙන පුද්ගලයා නොවේ.
කණ්ඩායම් සාමාජිකත්වය පද්ධතියේ අනන්‍යතා විසඳුමෙන් පැමිණේ, ඔබ හඳුනන නාමයකින් නොවේ. නාමාවලි පරිශීලකයින් සඳහා, එම backend එකම එම පරිශීලකයාගේ කණ්ඩායම් විමසුම්වලට පිළිතුරු දෙන බව තහවුරු කරන්න, මන්ද හුරුපුරුදු නාමයක් ඇති දේශීය කණ්ඩායමක් එම නාමයේ නාමාවලි කණ්ඩායමට වඩා වෙනස් වස්තුවකි.
අනුපිළිවෙල සහ අනන්‍යතා උගුල්
කණ්ඩායම් නීතිය සත්‍යාපන ස්ටැකයට පසුව සහ තවදුරටත් බලපැවැත්විය යුතු සෑම පරීක්ෂාවකට පසුව තබන්න, නමුත් ඔබ රඳවා ගන්නා ගිණුම් පරීක්ෂණවලට පෙර හෝ ඒවා සමඟ. PAM මොඩියුල ගොනු අනුපිළිවෙලින් ඇගයයි, සහ සෑම පේළියකම පාලක අගය අසාර්ථකත්වය අවසාන ද යන්න තීරණය කරයි.
දෙගුණ ස්ටැක පිළිබඳව අවධානයෙන් සිටින්න. සාමාන්‍ය රටාවක් නම් දැනටමත් ගිණුම් නීතියක් අඩංගු include එකක්, පසුව ඔබේම කණ්ඩායම් නීතිය, එය එකක් අපේක්ෂා කළ තැන දෙකක් තීරණ ඇති කරයි. ඔබ සංස්කරණය කළ ගොනුව පමණක් නොව, ඇතුළත් කළ ගොනුව ද කියවන්න. සැබෑ අනුපිළිවෙල දැකීමට ඉක්මන් ක්‍රමය නම් ගොනුව ඉහළ සිට පහළට කියවා සෑම පාලක අගයක් සටහන් කිරීමයි.
අනෙකුත් ප්‍රවේශ අවශ්‍යතා නොවෙනස්ව තබන්න. සාර්ථක මුරපදයක් සහතික පරීක්ෂණ, දෙවන සාධකය හෝ සම්බන්ධතාවයෙන් පසු අවසරය වෙනුවට නොපැමිණේ, සහ මෙම ප්‍රතිපත්තිය ඒවායින් කිසිවකට ආදේශකයක් නොවේ. ගිණුම VPN ප්‍රවේශය සඳහා සලකා බැලීමට සුදුසු ද යන්න එය පමණක් තීරණය කරයි.
සාමාජිකයන්, බාහිර අය සහ වැරදි මුරපද පරීක්ෂාව
ප්‍රතිපත්තිය සම්පූර්ණ යැයි සැලකීමට පෙර අවස්ථා තුනක් පරීක්ෂා කරන්න. සාමාජිකයෙක් සාර්ථකව සම්බන්ධ වේ. කණ්ඩායමෙන් පිටත වලංගු ගිණුමක් එහි මුරපදය සත්‍යාපනය කරයි නමුත් VPN ප්‍රවේශය ප්‍රතික්ෂේප වේ. ඕනෑම ගිණුමකට වැරදි මුරපදයක් සත්‍යාපන අදියරේදී ප්‍රතික්ෂේප වේ, කණ්ඩායම් නීතියෙන් නොවේ.
සේවාලාභියාට දිස්වන දෝෂය සහ සේවාදායක ලොගය එකට බලන්න, මන්ද සම්බන්ධ වන පුද්ගලයාට අසාර්ථකත්ව දෙකම සමාන ලෙස පෙනිය හැක. සහාය සඳහා මෙම වෙනස වැදගත් වේ: නිවැරදි මුරපදයක් ඇති බාහිර අයෙකුට කණ්ඩායම් වෙනසක් අවශ්‍ය වේ, නමුත් වැරදි මුරපදයකට අක්තපත්‍ර නැවත සැකසීම අවශ්‍ය වේ.
PAM සංස්කරණය කරන අතරතුර දෙවන සැසියක් විවෘතව තබන්න, සහ වෙනසෙන් පසු සාමාන්‍ය SSH පිවිසුම ද සත්‍යාපනය කරන්න. කැපවූ සේවාවේ අරමුණ වන්නේ පද්ධති පිවිසුම බලපෑමට ලක් නොවිය යුතු බවයි, සහ එය දැනගැනීමට ඇති එකම ක්‍රමය එය පරීක්ෂා කිරීමයි.
යමක් කැඩී ගියොත් පිටපතකින් පෙර සේවා ගොනුව ප්‍රතිස්ථාපනය කරන්න. ඔබට අවශ්‍ය නීතිය පැවසීම පහසුය: සාමාජිකත්වය ගිණුමක් VPN ප්‍රවේශයට සුදුසු කරයි, සහ අනෙකුත් සෑම අවශ්‍ය පරීක්ෂාවක්ම තවදුරටත් බලපායි.