පිවිසුම් පරීක්ෂණ දෙකක් යනු සාධක දෙකක් නොවේ: VPN සහ RADIUS

VPN ද්වාරයකට දෙවන සත්යාපන පසුතලයක් එකතු කිරීම දෙවන සාධකයක් එකතු කිරීමක් ලෙස දැනේ. සාමාන්යයෙන් එය දෙවන පරීක්ෂණයක් එකතු කරයි, එය වෙනස් අසාර්ථක විධි සහිත වෙනස් වස්තුවකි. දෙකම සාර්ථක විය යුතුද, එක් එකක් ඔප්පු කරන්නේ කුමක්ද සහ එකක් නොමැති විට කුමක් සිදුවේද යනු වෙනස් තීරණ තුනකි. වැරදියි නම් ද්වාරය ප්‍රදර්ශනයේදී දැඩි වන අතර බාධාවක් අතරතුර දුර්වල වේ.

දෙවන පසුතලය සැබවින්ම ඔප්පු කරන්නේ කුමක්ද

දේශීය ගිණුම් සෙවීමක් ඔප්පු කරන්නේ නමක් දත්ත සමුදායක පවතින බවත් මුරපදයක් එයට ගැළපුණු බවත්ය. RADIUS හුවමාරුවක් ඔප්පු කරන්නේ RADIUS සේවාදායකයක් ලැබුණු ගුණාංග සඳහා Access-Accept ලබා දුන් බවයි. ප්‍රකාශ දෙකෙන් කිසිවක් සාධක වර්ගයක් සඳහන් නොකරයි, මන්ද දෙකම දැනුම සත්යාපනය කරයි. තවද NIST හි ඩිජිටල් අනන්යතා මාර්ගෝපදේශය වෙනස් සාධක වර්ග සහ ඒවායේ සත්යාපක ගණන් කරයි, සේවාදායක හෝ සංඥා නොවේ.

පද්ධති දෙකම සහභාගී වන නීත්යනුකූල නිර්මාණයක් ඇත. මධ්යම සේවාවකට පුද්ගලයා සත්යාපනය කළ හැකි අතර ද්වාරය එම ගිණුමට මෙම උමඟට අයිතියක් ඇත්දැයි ස්වාධීනව පරීක්ෂා කරයි. එය සත්යාපනයට සමාන්තරව බලය දීමකි, එය දෙවන සාධකය ලෙස හැඳින්වීම ප්‍රතිපත්ති පරීක්ෂණයක් හා අයිතියේ සාක්ෂියක් මිශ්‍ර කරයි.

RADIUS හට සැබෑ දෙවන සාධකයක් රැගෙන යා හැක්කේ එකක් සත්යාපනය කරන දෙයක් ඉදිරියෙහි සිටින විටය, උදාහරණයක් ලෙස තල්ලු අනුමැතියක් හෝ උපාංග ටෝකනයක්. ලිපිනය පවසන්නේ නැත පරිශීලකයා කුමන සත්යාපක ඉදිරිපත් කළේද කියා, එබැවින් ද්වාරයේ ලේබලය නොව පසුතල ප්‍රතිපත්තිය කියවන්න.

AND, OR සහ ආපසු විවිධ නිෂ්පාදන වේ

ක්‍රියාත්මක කිරීම් සසඳීමට පෙර ඔබේ අවශ්යතාවයේ දෙකම යන්නෙන් අදහස් කුමක්ද යන්න තීරණය කරන්න. AND ප්‍රතිපත්තියට සෑම නම් කළ පරීක්ෂණයක්ම සමත් විය යුතුය, OR ප්‍රතිපත්තිය සාර්ථක වන එක පිළිගනී, ආපසු එක දෙවැන්න ගැසට් කළ අසාර්ථක කොන්දේසි යටතේ පමණක් උත්සාහ කරයි. මේ තුන බාධාවක් අතරතුර ප්‍රතිවිරුද්ධ ලෙස හැසිරෙන අතර සාමාන්යයෙන් ඉන් එකක් පමණක් සමාලෝචනයේ අදහස වේ.

වින්යාස තිරයකට පසුතල සටහන් දෙකක් එකතු කිරීමෙන් නිෂ්පාදනය කුමන ප්‍රතිපත්තියක් ක්‍රියාත්මක කරන්නේද යන්න හෙළි නොවේ. සමහර ද්වාර ප්ලගින ක්‍රමයට සම්බන්ධ කර පළමු ප්‍රතික්ෂේපයේ නතර වේ, එය AND වන්නේ සෑම ප්ලගිනයක්ම අනිවාර්ය විට පමණි. අනෙක්වා දේශීය ගිණුම අභිබවා යැවීමක් ලෙස සලකයි, එය මධ්යම බාධාවක් මඟ හැරීමක් බවට පත් කරයි. විශ්වාසදායක පිළිතුර වන්නේ ඔබ යොදවන build එකට එරෙහිව ධාවනය කරන, සෑම මාර්ගයක් සඳහාම ලේඛනගත ඍණ පරීක්ෂණයකි.

ආපසු වැඩියෙන්ම සැකයට ලක් විය යුතුය, මන්ද යමක් කැඩී ඇති විට දිගටම ක්‍රියා කිරීමට එය පවතී. RADIUS ළඟා විය නොහැකි සෑම විටම දේශීය මුරපදය පිළිගන්නා ආපසු මධ්යම ප්‍රතිපත්තියක් දෙවන, දුර්වල දොරටුවක් බවට පත් කර ඇත.

OpenVPN හි ද්විත්ව පරීක්ෂණය ස්පෂ්ට අවස්ථාවකි

ප්‍රජා OpenVPN 2.6 දෙකම සක්‍රීය විට සේවාලාභී සහතිකය සහ වින්යාස කළ auth-user-pass-verify ස්ක්‍රිප්ටය දෙකම අවශ්ය කරයි. එය සහතික සත්යාපනය සහ අක්‍රමවත් සංකේත ස්ක්‍රිප්ටය අතර ලේඛනගත AND වන අතර එය සැබවින්ම පරීක්ෂණ දෙකකි. එය තවම ස්වයංක්‍රීයව සාධක වර්ග දෙකක් නොවේ, මන්ද ස්ක්‍රිප්ටය මුරපදයක් පමණක් වලංගු කරන බැවිනි.

සංයෝජනය සම්බන්ධතා ප්‍රශ්නයද විවෘතව තබයි. සහතිකයක් සාමාන්යයෙන් උපාංගයක් හඳුනා ගන්නා අතර අක්‍රමවත් තොරතුරු පුද්ගලයෙක් හඳුනා ගනී, තවද මූලික ප්‍රවාහයේ දෙකම එකම ප්‍රධානයට යොමු විය යුතු බව කිසිවක් ඉල්ලා නොසිටී. කුමන යුගලවලට අවසර දෙනවාද තීරණය කර, පසුව එම සිතියම සත්යාපන ස්ක්‍රිප්ටය තුළ හෝ පසු බලය දීමේ පියවරේ බලාත්මක කරන්න.

සහතික-පමණක් මාදිලිය එක් පරීක්ෂණයකි, PIN එකකින් ආරක්ෂා වී තිබිය හැකි හෝ නොහැකි යතුරක් මත රඳා පවතී. PIN එකක් එම අක්‍රමවත් තොරතුරු දැනුම හා අයිතිය බවට පත් කරන්නේ යතුර එය නොමැතිව භාවිත කළ නොහැකි නම් පමණි. එම යතුර තැටියේ සංකේතනය නොකර තැබීම දෙවන කොටස ගොනු අවසරයකට අඩු කරයි.

උපාංග නිෂ්පාදකයින් තමන්ගේ ප්ලම්බිං තනයි, බොහෝ විට වෙබ් කොන්සෝලය පිටුපස PAM මොඩියුලයක් හෝ RADIUS ප්ලගිනයක්. ප්‍රජා හැසිරීම ද්විත්ව පරීක්ෂණ කෙසේ දිස්වේද යන්නට යොමුවකි, උපාංගය ඒවා එකට එකතු කරන ආකාරය පිළිබඳ විස්තරයක් නොවේ.

ඔබේ ද්වාරයේ සංයෝජනය පරීක්ෂා කරන්න

කොන්සෝල සාරාංශය විශ්වාස කිරීමට පෙර වින්යාසය කියවන්න. ප්‍රතිපත්තිය තීරණය කරන පේළි වන්නේ සහතික මාදිලිය, අක්‍රමවත් ස්ක්‍රිප්ටය සහ ප්ලගින අනුපිළිවෙලයි.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep පෙන්වන්නේ සහතිකයක් අවශ්යද සහ ඉන් පසු කුමන ස්ක්‍රිප්ටය ධාවනය වේද යන්නය, අනුපිළිවෙල නම්වලින් ඇඟවෙන දෙයට වඩා වැදගත්ය. සහතික විග්‍රහය ද්වාරය දකින අනන්යතාවය ලබා දෙයි, සම්බන්ධතා සිතියමට අවශ්ය CN සහ අනුක්‍රමික අංකය ඇතුළුව. RADIUS පරීක්ෂණය ඍණ අවස්ථාවයි: වැරදි මුරපදයක් Access-Reject සහ නිවැරදි එකක් Access-Accept ලබා දිය යුතුය. ප්‍රතික්ෂේපිත අක්‍රමවත් තොරතුරු තවමත් සැසියක් ලබා දෙන්නේ නම්, ස්ක්‍රිප්ටය සත්යාපන මාර්ගයේ කිසිසේත් නැත.

පසුව රසායනාගාර අවස්ථාවක බාධා අවස්ථාව ධාවනය කරන්න: අවශ්ය පසුතලය නවතා වලංගු අක්‍රමවත් තොරතුරු සමඟ සම්බන්ධ වන්න. බලාපොරොත්තු වන ප්‍රතිඵලය ප්‍රතික්ෂේපයකි, අනෙක් සියල්ල කිසිවෙකු ලේඛනගත නොකළ ආපසු ප්‍රතිපත්තියයි.

අවශ්යතාවය ඍණ අවස්ථා ලෙස ලියන්න

භාවිතා කළ හැකි අවශ්යතාවයක් සාක්ෂි, ඒවා ඉදිරිපත් කිරීමට අවසර ඇති ගිණුම් සහ සත්යාපකයා නොමැති විට ප්‍රතිඵලය නම් කරයි. උපාංග අනන්යතාවය සහ පුද්ගල අනන්යතාවය අතර අවසර ලත් යුගල කිරීමද එය ප්‍රකාශ කරයි. එය ගැනුම් ඇණවුමේ නිෂ්පාදන නම්වලට වඩා නිවැරදි වන අතර පරීක්ෂා කළ හැක.

පිළිගැනීමට ප්‍රතික්ෂේප හතරක් ඇතුළත් විය යුතුය: නුසුදුසු දේශීය ගිණුමක්, නැති වූ අවශ්ය සාක්ෂියක්, වලංගු නොවන දෙවන සාධකයක් සහ ළඟා විය නොහැකි අවශ්ය පසුතලයක්. සෑම ප්‍රතික්ෂේපයකටම එය අනෙක්වාගෙන් වෙන් කරන ලොග් පේළියක් අවශ්යය, නැත්නම් ඊළඟ සිදුවීම අනුමානයෙන් ආරම්භ වේ. ද්වාරය, RADIUS සේවාදායකය සහ නාමාවලිය එකිනෙකාට දොස් පවරන බැවින් කුමන සංරචකය කුමන තීරණය ගත්තේද ලේඛනගත කරන්න.

කිසියම් ප්ලගින හෝ ස්ථාවර යාන්ත්‍රණ වෙනසකින් පසු ප්‍රතික්ෂේප හතර නැවත ධාවනය කරන්න. ඒවා ලාභදායී වන අතර ඒවා ආරක්ෂා කරන ප්‍රතිපත්තිය ප්‍රහාරකයා පළමුව පරීක්ෂා කරන කොටසයි.