Kufizoni hyrjet e OpenVPN në një grup me një politikë PAM

Mbajini të gjitha llogaritë në gjendje të hyjnë normalisht, por lejoni vetëm një grup të përdorë VPN-në. PAM mund ta shprehë atë dallim pa një depo të dytë fjalëkalimesh, dhe shtojca OpenVPN mund të drejtohet drejt një shërbimi që përmban vetëm kontrollet që synoni. Truku është të ndërtoni atë shërbim pa trashëguar aksidentalisht një stivë në nivel sistemi.

Shëtitja këtu nis nga emri i shërbimit të shtojcës, ndërton një politikë dhe më pas teston tre rezultatet që kanë rëndësi: një anëtar, një i jashtëm me fjalëkalim të vlefshëm dhe kredenciale të gabuara.

Pse një shërbim PAM i veçantë

Shtojca auth-pam merr një emër shërbimi si argument. Ai emër zgjedh një skedar nën /etc/pam.d, dhe stiva në atë skedar është ajo që ekzekutohet gjatë një hyrjeje VPN. Nëse jepni të njëjtin emër që përdor një hyrje në nivel sistemi, trashëgoni çdo vendim në atë stivë, përfshirë ata të shtuar më vonë për arsye të palidhura.

Në vend të kësaj krijoni një shërbim të dedikuar. Filloni nga një stivë funksionale që tashmë vërteton ndaj backend-it të synuar, si një skedar lokal fjalëkalimesh, SSSD ose një shërbim drejtorie, dhe pastaj shtoni rregullin e përshtatshmërisë. Kopjimi i dy rreshtave në një skedar bosh është gabimi i zakonshëm: skadimi i fjalëkalimit, bllokimi i llogarisë dhe kontrolle të tjera mund të jenë në stivën që nuk e kopjuat.

Ndarja e shërbimit kufizon gjithashtu shtrirjen e dëmit. Një rregull vetëm për VPN në një stivë të përbashkët mund t'u mohojë të gjithëve aksesin SSH ose konsol, gjë që e kthen një ndryshim aksesi në ndërprerje.

Shkrimi i rregullit të grupit

Kontrolli i përshtatshmërisë i përket fazës së llogarisë, pasi kredencialet të jenë verifikuar. Një rregull si account required pam_succeed_if.so user ingroup vpnusers lejon përpunimin të vazhdojë vetëm kur përdoruesi i vërtetuar është anëtar i atij grupi.

Ai rresht është fragment, jo shërbim i plotë. Integrojeni atje ku arrin çdo rrugë e pranuar dhe kontrolloni flamujt e kontrollit rreth tij. Një kontroll sufficient ose kërcim më herët në stivë mund ta përfundojë përpunimin para se rregulli juaj të ekzekutohet, gjë që e kthen kufizimin në sugjerim.

Mos shtoni use_uid nga zakoni. Pa të, moduli vlerëson përdoruesin që vërtetohet; me të, moduli vlerëson llogarinë nën të cilën punon procesi OpenVPN, që është zakonisht root ose një llogari shërbimi dhe për këtë arsye jo personi që hyn.

Anëtarësia në grup vjen nga zgjidhja e identitetit të sistemit, jo nga një emër që njihni. Për përdoruesit e drejtorisë, konfirmoni që i njëjti backend përgjigjet pyetjeve të grupit për atë përdorues, sepse një grup lokal me emër të njohur është objekt tjetër nga grupi i drejtorisë me të njëjtin emër.

Grackat e rendit dhe identitetit

Vendoseni rregullin e grupit pas stivës së vërtetimit dhe pas çdo kontrolli që duhet të vazhdojë të zbatohet, por përpara ose pranë kontrolleve të llogarisë që mbani. PAM i vlerëson modulët sipas rendit të skedarit, dhe vlera e kontrollit në çdo rresht vendos nëse një dështim është përfundimtar.

Kujdes nga stivat e dyfishta. Një model i zakonshëm është një include që tashmë përmban një rregull llogarie, i ndjekur nga rregulli juaj i grupit, që prodhon dy vendime atje ku prisnit një. Lexoni skedarin e përfshirë, jo vetëm atë që redaktuat. Një mënyrë e shpejtë për të parë rendin efektiv është të lexoni skedarin nga lart poshtë dhe të shënoni çdo vlerë kontrolli.

Mbajini të paprekura kërkesat e tjera të pranimit. Një fjalëkalim i suksesshëm nuk zëvendëson kontrollet e certifikatës, një faktor të dytë ose autorizimin pas lidhjes, dhe kjo politikë nuk është zëvendësim për asnjërën prej tyre. Ajo vendos vetëm nëse llogaria është e përshtatshme për t'u konsideruar për akses VPN.

Testimi i anëtarëve, të jashtëmve dhe fjalëkalimeve të gabuara

Testoni tre raste përpara se ta konsideroni politikën të përfunduar. Një anëtar lidhet me sukses. Një llogari e vlefshme jashtë grupit vërteton fjalëkalimin e saj, por i mohohet aksesi VPN. Një fjalëkalim i gabuar për secilën llogari refuzohet në fazën e vërtetimit, jo nga rregulli i grupit.

Shikoni së bashku gabimin e dukshëm për klientin dhe regjistrin e serverit, sepse të dyja dështimet mund t'i duken të ngjashme personit që lidhet. Dallimi ka rëndësi për mbështetjen: një i jashtëm me fjalëkalim të saktë ka nevojë për ndryshim grupi, ndërsa një fjalëkalim i gabuar kërkon rivendosje të kredencialeve.

Mbajeni një sesion të dytë të hapur ndërsa redaktoni PAM, dhe verifikoni edhe hyrjen normale SSH pas ndryshimit. Qëllimi i shërbimit të dedikuar është që hyrja e sistemit të mbetet e paprekur, dhe mënyra e vetme për ta ditur është ta testoni.

Nëse diçka prishet, rikthejeni skedarin e mëparshëm të shërbimit nga një kopje. Rregulli që dëshironi është i thjeshtë për t'u thënë: anëtarësia e bën një llogari të përshtatshme për akses VPN, dhe çdo kontroll tjetër i kërkuar vazhdon të zbatohet.