Bllokimi i llogarisë kundrejt ndalimit të adresës: ku OpenVPN numëron vërtet

Bllokimi i një adrese dhe bllokimi i një llogarie janë dy mekanizma të ndryshëm dhe dështojnë në drejtime të kundërta. Ndalimi i adresës ndalon një burim dhe llogaria mbetet e arritshme nga diku tjetër; bllokimi i llogarisë e ndalon identitetin kudo, edhe në laptopin e përdoruesit.

Për një VPN që ia delegon vërtetimin PAM-it, numëruesi është ajo ku arrin pirgu PAM, jo ajo që regjistroi dëgjuesi.

Dy numërues, dy viktima të ndryshme

Kufizuesi i shpejtësisë shikon një burim dhe pyet sa përpjekje erdhën prej tij së fundmi. Bllokimi shikon një identitet dhe pyet sa dështime ka grumbulluar llogaria. I pari mbron disponueshmërinë, i dyti kredencialet; asnjëri nuk zëvendëson tjetrin.

Prandaj fjalia bllokojmë IP-në pas pesë dështimeve nuk është përgjigje për një raport mbi mbushjen e kredencialeve. Sulmuesi rrotullon burimet, secili merr pak përpjekje dhe llogaria nuk numërohet kurrë. Në të kundërt, një bllokim pa kontroll burimi i lejon atij ta mbajë llogarinë të bllokuar pafundësisht duke dështuar me qëllim.

Të dy kontrollet kanë edhe histori të ndryshme rikuperimi. Ndalimi i adresës skadon me një kohëmatës për të cilin askush nuk duhet të mendojë; bllokimi i llogarisë mund të kërkojë administrator, periudhë pritjeje të dokumentuar ose rivendosje vetëshërbimi.

Gjeni depon që e zotëron tashmë numrin

Përpara se të shtoni çdo gjë, zbuloni nëse ekziston tashmë një depo dështimesh. Llogaria lokale Linux, shërbimi i drejtorisë dhe ofruesi i jashtëm i identitetit mbajnë secili numrin e vet, dhe moduli PAM përpara tyre krijon një të dytë në vend që të zgjerojë të parin.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Lexoni skedarin e shërbimit që VPN-ja përmend vërtet dhe ndiqni rreshtat e përfshirjes. Në shumë shpërndarje shërbimi i VPN-së përfshin një skedar të përbashkët, pra numri që rregulloni vlen edhe për SSH dhe hyrjet lokale.

Nëse drejtoria tashmë imponon bllokim, pyetja e dobishme është si biseda PAM arrin në atë vendim dhe si e raporton VPN-ja. Numri lokal sipër nuk bëhet numëruesi i drejtorisë, dhe dy politikat mund të nuk bien dakord se kur hapet llogaria.

pam_faillock ka tre pozicione thirrjeje, jo një

Moduli ndan tre veprime që një rresht i kopjuar zakonisht i turbullon: kontrollin nëse llogaria është bllokuar, regjistrimin e dështimit dhe pastrimin e historisë pas suksesit.

Këtu gabon zakonisht migrimi nga një modul më i vjetër numërimi. Kopjimi i një rreshti nga shembulli pam_tally2 që funksionon në pirgun pam_faillock nuk është riemërtim; konfigurimi i dokumentuar është i ndryshëm dhe një thirrje e vendosur gabimisht mund të regjistrojë dështime pa i kontrolluar kurrë.

faillock --user alice
faillock --user alice --reset

Mjeti i inspektimit është mënyra më e shpejtë për të parë nëse numëruesi është i vërtetë: shfaq dështimet e regjistruara për një llogari dhe mund t i fshijë. Nëse një dështim i kontrolluar nuk e ndryshon atë dalje, pozicioni i thirrjes është i gabuar.

Një emër i veçantë shërbimi nuk është izolim

T i japësh VPN-së skedarin e vet të shërbimit PAM e bën politikën e synuar të dukshme, por nuk e kufizon efektin. Çdo përfshirje e një skedari të përbashkët sjell atë që bën ai skedar, duke përfshirë numëruesit për të gjithë sistemin.

Vendosni qartë nëse bllokimi mbulon vetëm aksesin VPN apo çdo shërbim që vërteton të njëjtën llogari. Të dyja përgjigjet janë të mbrojtshme; dështimi është të besoni se keni zgjedhur njërën ndërsa pirgu zbaton tjetrën.

Më pas merrni parasysh koston. Sulmuesi mund ta shkaktojë bllokimin dhe përdoruesi që vuan është pronari i llogarisë. Pragu, periudha e pritjes dhe rruga administrative e rikuperimit janë pjesë e politikës, dhe rikuperimi nuk duhet të varet nga rikonfigurimi i VPN-së gjatë një incidenti.

Pranoni sekuencën, jo një refuzim të vetëm

Testoni me identitete të caktuara sipas një plani të miratuar dhe testoni një zinxhir, jo një ngjarje të vetme: llogaria e vlefshme vërtetohet, fjalëkalimi i gabuar me qëllim lëviz numëruesin, bllokimi i konfiguruar hyn në fuqi dhe rikuperimi i dokumentuar e kthen aksesin.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Vëzhgoni sjelljen në sukses po aq me kujdes sa atë në dështim. Nëse hyrja e suksesshme nuk e pastron historinë, llogaria bllokohet pas grumbullimit të ngadaltë të gabimeve të zakonshme. Nëse pastron gjithçka nga çdo shërbim, numëruesi është më i dobët se sa pretendon politika.

Së fundi, ndaloni klientët pa mbikëqyrje përpara se të shpallni fitore. Kredencialet e ruajtura që riprovojnë në sfond rikrijojnë dështimet disa minuta pas rikuperimit dhe e bllokojnë përsëri llogarinë. Kufizimi i shpejtësisë sipas burimit mund të mbetet si kontroll shtesë, por nuk është politika e llogarisë.