Laba hubin gelitaan ma aha laba arrimood: VPN iyo RADIUS

Ku darista backend xaqiijin labaad xariirta VPN waxay u egtahay ku darista arrin labaad. Caadi ahaan waxay ku darsataa hubin labaad, oo ah shay kale oo leh habab guuldarro oo kala duwan. In labaduba guulaystaan, mid kastaa maxuu caddeeyaa iyo waxa dhaca marka mid aan la heli karin waa saddex go'aan oo gooni ah. Haddii aad khaldanto, xariirta waxay noqotaa mid adag bandhigga oo daciif ah inta lagu jiro hakad.

Waxa uu backend labaad run ahaantiis caddeeyo

Raadinta akoonka maxalliga ah waxay caddeysaa in magac uu ku jiro keydka xogta iyo in erayga sirta ah uu u dhigmaa. Isweydaarsiga RADIUS waxay caddeysaa in server RADIUS uu soo celiyay Access-Accept sifooyinka uu helay. Midkoodna odhaahda ma sheegto nooca arrinta, sababtoo ah labaduba waxay hubiyaan aqoon. Iyo hagaha NIST ee aqoonsiga dhijitaalka ah wuxuu tiriyaa noocyada arrimaha kala duwan iyo xaqiijiyayaashooda, ma aha serverro ama tilmaamo.

Waxaa jira naqshad sharci ah oo labada nidaam ay ka qaybgalaan. Adeeg dhexe ayaa xaqiijin kara qofka halka xariirta si madaxbannaan u hubiso in akoonkaas uu xaq u leeyahay tunnel-kan. Taasi waa oggolaansho ku xigta xaqiijinta, oo in loo yiraahdo laba arrimood waxay isku qasaysaa hubinta siyaasadda iyo caddaynta lahaanshaha.

RADIUS waxay qaadi kartaa arrin labaad oo dhab ah marka ay hor timaaddo shay hubiya mid, sida oggolaansho riix ah ama calaamad qalab. Baqshadda ma sheegto xaqiijiyayaasha uu isticmaaluhu soo bandhigay, markaa akhri siyaasadda backend-ka, ma aha calaamadda xariirta.

AND, OR iyo kaydku waa badeecooyin kala duwan

Ka hor intaadan isbarbardingin fulinta, go'aanso waxa labaduba ka dhigan yihiin shuruuddaada. Siyaasadda AND waxay u baahan tahay in hubin kasta oo la magacaabay uu gudbo, siyaasadda OR waxay aqbashaa tan guulaysata, kaydkuna wuxuu isku dayaa tan labaad kaliya marka ay jiraan shuruudo guuldarro oo la sheegay. Saddexdaas waxay si ka soo horjeeda u dhaqmaan inta lagu jiro hakad, oo badanaa mid kaliya ayaa ah waxa dib-u-eegistu ula jeeday.

Ku darista laba gelitaan oo backend shaashadda habaynta ma muujiso siyaasadda badeecadu fuliso. Qaar xariirro ah waxay isku xiraan plugins si kala sareyn ah oo joogsadaan diidmada ugu horreysa, taas oo AND tahay kaliya marka plugin kastaa qasab yahay. Kuwa kale waxay u arkaan akoonka maxalliga ah inuu yahay beddelaad, taas oo hakad dhexe u beddesha dhaqaaq. Jawaabta lagu kalsoonaan karo waa tijaabo diidmo ah oo la diiwaangeliyay oo loogu talagalay waddo kasta, lagu sameeyay build-ka aad geynayso.

Kaydka ayaa mudan shakiga ugu badan, sababtoo ah wuxuu u jiraa inuu sii shaqeeyo marka wax jaban yihiin. Kaydka aqbala erayga sirta maxalliga ah mar kasta oo RADIUS aan la gaari karin wuxuu siyaasadda dhexe u beddelay albaab labaad oo daciif ah.

Hubinta laba-jibbaaran ee OpenVPN waa kiis cad

OpenVPN bulshada 2.6 waxay u baahan tahay shahaadada macmiilka iyo skriptiga auth-user-pass-verify ee la habeeyay labadaba marka labaduba shaqeeyaan. Taasi waa AND la diiwaangeliyay oo u dhexeeya hubinta shahaadada iyo skriptiga aqoonsiga, oo runtii waa laba hubin. Weli si otomaatig ah ma aha laba nooc oo arrimo, maadaama skriptigu laga yaabo inuu kaliya xaqiijiyo eray sir ah.

Isku-dhafka waxay sidoo kale uga tagtaa su'aasha xiriirka mid furan. Shahaadadu caadi ahaan waxay aqoonsataa qalab halka aqoonsigu aqoonsado qof, oo waxba socodka caadiga ah kama dalbanayo in labaduba ay tilmaamaan isku shay. Go'aanso lammaanaha la oggol yahay, ka dibna ku qasab khariidaddaas gudaha skriptiga hubinta ama tallaabo oggolaansho oo dambe.

Habka shahaadada-kaliya waa hal hubin, oo lagu taageeray fure laga yaabo inuu PIN ku ilaaliyo ama aanu ilaalin. PIN wuxuu isla aqoonsigaas u beddelaa aqoon iyo lahaansho kaliya haddii furta aan laga isticmaali karin la'aantiis. Furtaas oo aan sir la gelin oo diskiga laga tagaa waxay qaybta labaad hoos u dhigtaa ogolaanshaha faylka.

Soo-saareyaasha qalabka waxay dhistaan tuubooyinkooda, badanaa module PAM ama plugin RADIUS oo ka dambeeya console web. Dhaqanka bulshadu waa tixraac ku saabsan sida hubinada laba-jibbaaran u muuqdaan, ma aha sharraxaad ku saabsan sida qalabku isku daro.

Hubi isku-dhafka xariirtaada

Akhri habaynta ka hor intaadan aammin saaridda console-ka. Sadarrada go'aamiya siyaasadda waa habka shahaadada, skriptiga aqoonsiga iyo nidaamka plugins.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep wuxuu muujinayaa haddii shahaado loo baahan yahay iyo skriptigee ka dambeeya, oo nidaamku wuxuu ka muhiimsan yahay waxa magacyadu tilmaamayaan. Soo-saarista shahaadada waxay bixisaa aqoonsiga xariirtu arki doonto, oo ay ku jiraan CN iyo lambarka taxanaha ee loo baahan yahay khariidadda xiriirka. Tijaabada RADIUS waa kiiska diidmo: eray sir ah oo khaldan waa inuu bixiyaa Access-Reject, oo sax ah Access-Accept. Haddii aqoonsi la diiday weli bixiyo fadhi, skriptigu gebi ahaanba kuma jiro wadada xaqiijinta.

Ka dib ku socodsii kiiska hakadka nuqul shaybaar: jooji backend-ka loo baahan yahay oo ku xiriir aqoonsi sax ah. Natiijada la filayo waa diidmo, oo wax kale oo dhan waa siyaasadda kaydka ee aan cidina diiwaangelin.

U qor shuruudda kiisaska diidmo

Shuruud la isticmaali karo waxay magacaabtaa caddaymaha, akoonnada loo oggol yahay inay soo bandhigaan iyo natiijada marka hubiye maqan yahay. Waxay sidoo kale sheegtaa lammaanaha la oggol yahay ee u dhexeeya aqoonsiga qalabka iyo aqoonsiga qofka. Taasi way ka saxan tahay magacyada badeecadaha dalabka, waana la tijaabin karaa.

Aqbaalku waa inuu ka mid ahaadaa afar diidmo: akoon maxalli ah oo aan mushkilad lahayn, caddayn qasab ah oo maqan, arrin labaad oo aan sax ahayn iyo backend qasab ah oo aan la gaari karin. Diidmo kastaa waxay u baahan tahay sadar diiwaan oo ka soocaya kuwa kale, haddii kale dhacdada xigta waxay ku bilaabataa mala-awaal. Diiwaangeli qaybta qaadatay go'aan kasta, maadaama xariirta, serverka RADIUS iyo hagaha mid kastaa eedayn doono labada kale.

Ku celi afarta diidmo ka dib isbeddel kasta oo plugin ama firmware ah. Way jaban yihiin, oo siyaasadda ay ilaaliyaan waa qaybta uu weeraryahanku marka hore baadho.