Ateştirada OpenVPN ee RADIUS: plugin mise ganacsi?

Plugin-ka waxa wali lagu talinayaa goobo ka duugan dhismayaasha hadda, server-kii shalay la soo saarayna waxa uu ku guuldareystaa marka la raro. Tani ma aha khalad habayneed oo waddo lagu hagaajiyo. Plugin-ka iyo ganacsiga script-ga waxa ay xalliyaan isla dhibaatada heerar kala duwan, kana-guurka mid ka mid ah midka kale waxa uu beddelaa waxa la rakibayo, waxa ku shaqeeya awoodaha server-ka, iyo waxa gelitaan guuldareystay run ahaantii kuu sheegayo.

Halyeeyga: plugin-ka ayaa ah waddada la taageeray

Plugin-ka waa shay la wadaago oo lagu raro hawsha OpenVPN, sidaas darteed waa in uu la jaanqaado interface-ka hawshu soo bandhigto. Dhismayaashu way beddelaan, baakadayntu way beddelataa, maktabad loo soo saaray interface duugan waxa ay si toos ah u diiddaa in la raro. Waxba ku jira habaynta server-ka ma buuxin karo farqigaas, sidaas darteed talada "kaliya rakib radiusplugin" waxa ay ku dhammaataa server aan kicin.

Ganacsiga script-ga waxa uu ka baxsan yahay hawsha. OpenVPN waxa uu ordiyaa barnaamij, waxa uu siiyaa aqoonsiga oo waxa uu akhriyaa go'aan. Kala-baxaas ayaa u ogolaanaya in uu ka gudbo casriyaynta, waxa uuna sidoo kale ka dhigayaa mas'uuliyaddaada si aan plugin-ku waligiis noqon.

Midkoodna hababka ma aha mid ka ammaan badan dhismihiisa. Mid waxa uu ku ordiyaa kood shisheeye daemon-ka gudihiisa; kan kalena waxa uu koodkaaga ku ordiyaa dhinaciisa isaga oo aqoonsiga gacanta ku haya. Su'aasha saxda ah waa midka labada khatar ah ee aad run ahaantii maamuli karto.

Waxa plugin-ku isku xidhay

Plugin-ku waxa uu lahaa faylkiisa habayn oo leh martigeliyaha RADIUS, sirta la wadaago, tirada isku dayga iyo waqtiga, habaynta server-kana waxa ay ku tilmaantay hal sadar. Qaabka aqoonsiga waxa uu ku hadhay hawsha server-ka, taas oo ka dhigan tahay in sirta aysan waligeed ka gudbin xad hawsha oo maamuluhu ay ahayd in uu sugo.

Qiimaha ayaa ahaa isku-xidhnaan. Casriyayn kasta oo OpenVPN waxa ay halis gelisay interface aan la jaanqaadi karin, qayb kasta oo dib u dhisaysa baakadda waxa ay halis gelisay soo saarista maktabad aan hadda la jaanqaadin. Marka taas dhacdo, guuldarradu waa cod dheer oo degdeg ah, waana tan kaliya ee naxariista naqshadda.

Haddii plugin sidan oo kale ah wali ku raran dhismahaaga, waxa uu noqon karaa dusha hawleedka yar. Xaqiiji interface-ka loo dhisay, ku dheji dhismaha aad tijaabisay, oo casriyayn kasta u qaado sidii isbeddel u baahan tijaabo gelitaan buuxda, ma aha cusboonaysiin baakad caadi ah.

Waxa ganacsiga script-ga run ahaantii aaminsan yahay

Ganacsiga waxa lagu habayaa auth-user-pass-verify iyo hab gudbin: doorsoomayaal deegaan ama fayl ku meel gaar ah. Qaabka deegaanka, OpenVPN waxa uu u baahan yahay script-security 3, heerka la diiwaangeliyay ee u oggolaanaya in sirta loo bandhigo script-yada. Heerkaas waa daciifnimo ula kac ah oo ah tan caadiga ah, waana in loo qaato sida oggolaansho leh sabab ku lifaaqan.

Wax kasta oo script-ku taabto waxa uu dhaxlaa aaminaaddaas. Waa in uu lahaado root, aan la qori karin koox ama kuwa kale, lagu tilmaamo waddo buuxda, oo aan lahayn meel uu qiime aan la aaminin gaaro shell. Geli doorsoome kasta xigasho, diid xuruufta lama filaan ah, oo waligaa ha ka dhisin amar magaca isticmaalaha la bixiyay. Script ku shaqeeya root ahaan isku day kasta oo gelitaan waxa uu mudan yahay hal dib-u-eegis sababta oo ah afartaas sifo.

ls -l /usr/local/sbin/radius-auth.sh
stat -c '%U %a' /usr/local/sbin/radius-auth.sh

Qaabka gudbinta faylku waxa uu ka fogaadaa dhibaatada dhaxalka deegaanka oo waxa uu aqoonsiga siiyaa script-ga iyada oo loo marayo fayl ku meel gaar ah oo leh oggolaansho xaddidan. Haddii macmiilkaagu taageero, badanaa waa tan caadiga ah ee fiican, inkastoo uu ku daro shay kale oo la nadiifiyo marka guuldarradu dhacdo.

Koodhka bixitaanku waxa uu go'aamiyaa haddii aad furan ku guuldareysato

Xaaladda bixitaanka script-ga waa go'aanka: eber waxa uu aqbalaa, aan eber ahayn waxa uu diidaa. Qaabka dhibaatada keena waa script shell oo kaliya aqbala marka jawaabta RADIUS ay ku jirto calaamad aqbala gaar ah oo haddana ku soo celisa guuldarro wax kasta oo kale, sababtoo ah waxa uu saddex dhacdo oo kala duwan ku daro hal jawaab. Sir khaldan, server aan la gaari karin iyo jawaab qalloocan dhammaantood waxa ay noqdaan isku diidmo.

Ku kala sooc xaaladahaas script-ga xitaa haddii ganacsigu kaliya soo celin karo aqbal ama diid. Diiwaangeli natiijada backend si gooni ah, digniin waqtiyada iyo khaladaadka gaadiidka, oo ka dhig mid cad kormeerka marka aqoonsigu ku guuldareysto sababtoo ah adeeggu waa xidhan yahay ee ma aha sababtoo ah isticmaalayaashu si khaldan u qoraan.

Laba caado ayaa inta kale caqli ku hayaa. Haddii RADIUS yahay awoodda, waa in uu noqdaa goobta kaliya ee sirta lagu hubiyo, sababtoo ah shaxda hadhku waxa ay abuurtaa laba jawaab oo isla su'aal ah midda labaadna waa dusha weerar ee aan cidna ilaalin. Oo xusuuso in ganacsiga dib loo waco isku day kasta, sidaas darteed script gaabis ah oo leh macmiil aan samir lahayn waxa uu noqdaa xoojiye qiyaasta sirta ilaa aad ku darto dib u dhac ama siyaasad dhinaca RADIUS.

Waxa aad ka tanaasusho marka shahaadadu tagto

Daabacaadyo badan oo qaabkan ah waxa ay gebi ahaan damiyaan hubinta shahaadada macmiilka, iyaga oo uga tagaya magac isticmaale iyo sir in ay noqdaan dhammaan sheegashada macmiilka. Waxa la waayaa habayntaas waa aqoonsiga ku salaysan shahaadada. Kanaalku waxa uu sii ahaanayaa mid sir ah, laakiin waxa kaliya ee magacaabaya macmiilka waa go'aanka RADIUS. Wax kasta oo hoos yimaada oo hore ugu tiirsanaa mawduuca shahaadada hadda waa in uu ku tiirsanaadaa magaca isticmaalaha.

Hayso ilaalinta kanaalka kontoroolka si uu fac aan la aqoonsan uusan u baarin karin ama buuxin karin is-gacan-qabashada, oo isticmaal username-as-common-name marka habaynta isticmaale kasta ay ku xidhan tahay magaca guud. Albaabada la maamulo waxa ay tan badanaa u xalliyaan si kale, iyaga oo joojinaya aqoonsiga shahaadada albaab ku hadla EAP-TLS la RADIUS, xaaladdaasna mid ka mid ah tilmaamahan server-ka ma khuseeyo. Koobi moodelka ay diiwaangelisay madaladaada, ma aha tan badeecad deris ah. Tilmaamaha muhiimka ah aad bay u kala duwan yihiin oo isku darkoodu waxa uu soo saaraa habayn la falanqeeyo oo haddana aan cidna aqoonsan.