OpenVPN PAM: doodka galitaanku waa adeeg, ma aha isticmaale

Isticmaale ayaa lagu daray server-ka, furaha sirta si sax ah ayaa loo qoray, xiriirka weli wuxuu ku dhamaadaa AUTH_FAILED. Sadarka balooggu wuxuu inta badan sharraxa sababta: ereyga ka dambeeya waddada balooggu waa magac adeeg PAM, wuxuuna go'aamiyaa xidhmo keenna oo modulada ah ay ka jawaabto su'aasha. Ma aha magac isticmaale, mana aha tilmaame fayl furaha sirta ah oo OpenVPN uusan isagu akhriyo.

Waxa ay doorato ereyga labaad

Sadarka habayntu wuxuu qaataa waddada baloogga iyo hal dood:

plugin /usr/lib/openvpn/plugins/openvpn-plugin-auth-pam.so openvpn

Dooddaas waxaa loo gudbiyaa maktabadda PAM sidii magaca adeegga, taas oo ka dhigaysa xidhmada ku taal /etc/pam.d/openvpn tan shaqaysa. Halkaas ku qor login oo waxaad heli doontaa taa beddelkeed siyaasadda galitaanka is dhexgalka leh, iyadoo leh modulada ay siyaasaddaas ku darto qaybintaada.

Isticmaal waddada baloogga ee bixiya xidhmada la rakibay, ma aha waddo laga soo koobiyeeyay marti kale. Magaca faylka iyo galku way ku kala duwan yihiin qaybinta, waddo khaldan waxay ku guuldareysataa bilowga iyadoo leh khalad rakiba baloog, ma aha waqtiga xaqiijinta.

Halka xidhmadu runtii ka akhrido xisaabaadka

PAM waa gudbiye. Faylka adeeggu wuxuu modulada ku taxaa si kastaba, kan ugu horreeya ee jawaabi karaa wuxuu go'aamiyaa natiijada. Xidhmo u yeedha pam_unix waxay akhridaa xisaabaadka maxalliga ah; xidhmo u yeedha modul LDAP ama RADIUS waxay u diraa aqoonsiga meel kale gebi ahaanba.

Akhri faylka magaca adeeggu ku xalliyo, oo ay ku jiraan wax kasta oo uu ku daro:

cat /etc/pam.d/openvpn
grep -H pam_ /etc/pam.d/openvpn /etc/pam.d/common-auth

Haddii xidhmadu u wakiisho galka, ku darista xisaab maxalli ah waxba ma beddesho. Haddii ay akhrido xisaabaadka maxalliga ah, abuurista isticmaalaha galka waxba ma beddesho sidoo kale. Xisaabtu waa inay ku jirtaa meesha xidhmadu eegto, waana taas ogaanshaha oo dhan inta badan warbixinnadan.

Hal isku day, laba diiwaan

Isku xidh hal xiriir guuldareystay labada dhinac. Diiwaanka OpenVPN wuxuu muujinayaa natiijada baloogga iyo diidmada macmiilka; diiwaanka xaqiijinta nidaamku wuxuu muujinayaa kee modul uu shaqeeyay iyo waxa uu go'aansaday. Akhrintooda isla daaqadda waqti ee ah ayaa kala sooca faylka adeegga maqan iyo waqtiga backend-ka. Meel bannaan oo ku taal diiwaanka xaqiijintu waxay ka dhigan tahay inaan xidhmada marnaba la gaarin.

journalctl -u openvpn-server@server --since "-2 min"
journalctl -t sshd -t sudo --since "-2 min"

Si toos ah u tijaabi adeegga qalab ku hadla PAM, si aadan u hagaajin VPN-ka iyo xidhmada isla mar. Tijaabo toos ah oo guuleysatay oo isla magac adeeg iyo xisaab leh ayaa dhibaatada ku koobta sida daemonku u gudbiyo aqoonsiga, ma aha xisaabta lafteeda.

pamtester openvpn alice authenticate

Haddii tijaabada tooska ah ku guuldareysato isla aqoonsiga ka shaqeeya konsolka, xidhmadu ma akhrido isha xisaabaadka aad u malaynayay. Haddii ay guuleysato, fiiri wada hadalka balooggu sameeyo iyo waxa macmiilku runtii soo diray. Mar kale ku socodsii isla mar oo leh furaha sirta si ula kac ah khaldan, si aad u aragto farqiga u dhexeeya diidmo iyo khalad modul. Labadaas natiijo waxay isku mid ka muuqdaan diiwaanka VPN halkanna gebi ahaanba way ka duwan yihiin.

Adeeg gaar ah ayaa ka fiican tafatirka galitaanka

Si VPN-ka fayl adeeg u gaar ah marka shuruudihiisu ka duwantahay galitaanka is dhexgalka leh, taas oo ay inta badan sameyso. Tafatirka login ama common-auth wuxuu beddelaa siyaasadda barnaamij kasta oo ay ku jiraan, qofka xiga ee hagaajinaya dhibaato galitaan oo aan la xiriirinna wuxuu dhaxli doonaa isbeddelkaaga.

Koobi modulada aad u baahan tahay oo geli fayl adeeg yar, si cad u hayso nidaamka, oo qor cidda iska leh. Faylkaas ayaa ah waxa la hubiyo marka dib u dajinta furaha sirta ay u muuqato mid aan wax saameyn ah lahayn.

Waxa macmiilku soo diraa, iyo waxa uusan soo dirin

Macmiilku wuxuu bixiyaa magac isticmaale iyo furaha sirta isagoo adeegsanaya codsigiisa ama faylkiisa la taageeray. Baloogga server-ku wuxuu qiimayaashaas u gudbiyaa wada hadalka PAM; kama akhrido habaynta server-ka. Sadar dhinaca server-ka ah oo u muuqda inuu qeexayo furaha sirta ma sameeyo taas, mana jiro tafatir borofayl oo abuuraya xisaab.

Magaca isticmaalaha iyo furaha sirta waxay la wadaagi karaan shahaadooyinka macmiilka, iyo awoodsiinta PAM ma aha sabab loo joojiyo xaqiijinta shahaadooyinka. Hayso lakabyada ay qorsheynayd deploy-ga oo kaliya hagaaji isha xisaabaadka.

Aqbalistu waa laba dhinac: xisaabta loogu talagalay way guuleysataa, xisaabta la doonayo in la diido weli way guuldareysataa. Faylka README ee baloogga auth-pam wuxuu sharraxayaa doodda adeegga iyo backend-yada uu u adeegi karo, waana goobta lagu xaqiijiyo nidaamka aad isku dayeyso inaad dhisto.