Xidhitaanka akoonka iyo mamnuucidda cinwaanka: halka OpenVPN dhab ahaan tiri

Xannibaadda cinwaan iyo xidhitaanka akoon waa laba hab oo kala duwan, waxayna ku guul-darraystaan jihooyin iska soo horjeeda. Mamnuucidda cinwaanku waxay joojisaa hal isha, akoonka la bartilmaameedsadayna waa laga gaari karaa meel kale; xidhitaanka akoonku wuxuu joojiyaa aqoonsigaas meel kasta, xitaa kombuyuutarka isticmaalaha laftiisa.

VPN u wakiisha xaqiijinta PAM, tirintu waa meesha ay gaarto xirmada PAM, ma aha waxa dhagaystuhu diiwaangeliyay.

Laba tirineed, laba dhibbane oo kala duwan

Xakameeyaha xawaaraha wuxuu eegaa isha oo weydiiyaa inta isku day ay ka yimaadeen dhawaan. Xidhitaanku wuxuu eegaa aqoonsi oo weydiiyaa inta guul-darro ay akoonku ururiyay. Kan hore wuxuu ilaaliyaa helitaanka, kan dambe aqoonsiga; midna ma beddelo kan kale.

Sidaas darteed weedha waxaan xannibnaa IP-ga shan guul-darro kadib ma aha jawaab warbixin ku saabsan buuxinta aqoonsiga. Weeraryahanku wuxuu beddelaa isha, mid kastaa wuxuu helaa isku day yar, akoonkana lama tirin karo. Taa lidkeeda, xidhitaan aan lahayn xakamayn isha wuxuu u oggolaadaa weeraryahanka inuu akoonka xidhan hayo si aan xad lahayn isagoo ula kacaya inuu guul-darraysto.

Labada xakamayn waxay leeyihiin sheekooyin soo-kabasho oo kala duwan. Mamnuucidda cinwaanku waxay dhacdaa saacad ay qasab ku tahay qofna inuu ka fikiro; xidhitaanka akoonku wuxuu u baahan karaa maamule, muddo sugitaan la diiwaangeliyay ama dib-u-dejin iskeed ah.

Soo hel bakhaarka hore u haysta tirinta

Ka hor intaadan wax ku darin, ogoow haddii bakhaar guul-darro hore u jiray. Akoon Linux maxalli ah, adeeg hagaha iyo bixiye aqoonsi dibadeed mid kastaa wuxuu hayaa tirintiisa, module PAM oo hortooda la dhigayna wuxuu abuuraa mid labaad halkii uu ballaarin lahaa kan koowaad.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Akhri faylka adeegga ee VPN dhab ahaan magacaabay oo raac khadadka ku daristiisa. Qaybo badan adeegga VPN waxa uu ku daraa fayl wadaag ah, taas oo macnaheedu yahay tirinta aad hagaajinayso waxay sidoo kale khuseysaa SSH iyo gelitaanka maxalliga ah.

Haddii hagahu hore u dhaqan geliyo xidhitaan, su aasha waxtarka leh waa sida wada-hadalka PAM u gaaro go aankaas iyo sida VPN u soo sheego. Tirinta maxalliga ah ee korka lagu daray ma noqoto tirinta hagaha, labada siyaasadna way ku kala duwanaan karaan goorta akoonku furmo.

pam_faillock wuxuu leeyahay saddex goobood oo wicitaan, ma aha mid

Module-ku wuxuu kala soocaa saddex hawlood oo hal khad la koobiyeeyay uu inta badan qariyo: hubinta haddii akoonku hore u xidhnaa, diiwaangelinta guul-darro iyo tirtirka taariikhda kadib guul.

Halkan ayaa guuritaanka ka imanaya module tirineed oo duq ah inta badan qaldama. Koobista khad ka imanaya tusaale pam_tally2 shaqeeya oo lagu daro xirmo pam_faillock ma aha magac-beddel; habaynta la diiwaangeliyay way ka duwan tahay, wicitaan meel khaldan la dhigayna wuxuu diiwaangelin karaa guul-darrooyin isagoo aan waligiis hubin.

faillock --user alice
faillock --user alice --reset

Qalabka baaritaanku waa habka ugu dhaqso badan ee lagu arko haddii tirintu dhab tahay: wuxuu muujiyaa guul-darrooyinka la diiwaangeliyay ee akoonka waxaana uu tirtiri karaa. Haddii guul-darro la xakameeyay aanu beddelin soo-saarkaas, booska wicitaanku waa khalad.

Magac adeeg gaar ah ma aha go doomin

In VPN la siiyo fayl adeeg PAM u gaar ah waxay ka dhigtaa siyaasadda loogu talagalay mid muuqata, laakiin ma xaddido saameynta. Ku daris kasta oo fayl wadaag ah waxay keentaa waxa faylkaasu qabto, oo ay ku jiraan tirinta nidaamka oo dhan.

Si cad u go aanso haddii xidhitaanku daboolayo kaliya gelitaanka VPN ama adeeg kasta oo xaqiijiya isla akoonkaas. Labada jawaabba waa la difaaci karaa; guul-darrada ayaa ah inaad rumaysato inaad mid dooratay halka xirmadu ay fulinayso tan kale.

Kadib tixgeli kharashka. Weeraryahan ayaa sababi kara xidhitaanka, isticmaalaha dhibaataysanna waa milkiilaha akoonka. Xadka, muddada sugitaanka iyo wadada soo-kabasho maamuleed waa qayb ka mid ah siyaasadda, soo-kabashaduna waa in aanay ku xirnaan dib-u-habaynta VPN inta lagu jiro dhacdo.

Aqbal isku xigxiga, ma aha diidmo keliya

Ku tijaabi aqoonsiyo la cayimay iyadoo la raacayo qorshe la ansixiyay, oo tijaabi silsilad halkii aad tijaabin lahayd dhacdo keliya: akoon ansax ah wuu xaqiijiyaa, erayga sirta ah ee ula kac loo khalday wuxuu dhaqaajiyaa tirinta, xidhitaanka la habeeyay wuu dhaqan galayaa, soo-kabashada la diiwaangeliyayna waxay soo celisaa gelitaanka.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

U fiirso habdhaqanka guusha si la mid ah guul-darrada. Haddii gelitaan guuleystay aanu tirtirin taariikhda, akoonku wuu xidhmi doonaa kadib ururinta gaabis ah ee khaladaad caadi ah. Haddii uu wax walba ka tirtiro adeeg kasta, tirintu way ka itaal yar tahay waxa siyaasaddu sheegato.

Ugu dambayn, jooji macaamiisha aan la ilaalin ka hor intaadan ku dhawaaqin guusha. Aqoonsiga la kaydiyay ee dib ugu celiya isku dayga ayaa mar kale abuuri doona guul-darrooyin dhowr daqiiqo kadib soo-kabashada oo mar kale xidhi doona akoonka. Xakamaynta xawaaraha ee ku salaysan isha waxay sii ahaan kartaa xakamayn dheeraad ah, laakiin maaha siyaasadda akoonka.