Kufunga akaunti dhidi ya kuzuia anwani: OpenVPN huhesabu wapi kweli

Kuzuia anwani na kufunga akaunti ni mbinu mbili tofauti, na hushindwa katika mielekeo pinzani. Marufuku ya anwani husimamisha chanzo kimoja na akaunti lengwa hubaki ikifikiwa kutoka mahali pengine; kufunga akaunti husimamisha utambulisho huo kila mahali, hata kwenye kompyuta ya mkononi ya mtumiaji mwenyewe.

Kwa VPN inayokabidhi uthibitishaji kwa PAM, kihesabu ni kile ambacho mkusanyiko wa PAM hufikia, si kile kilichorekodiwa na msikilizaji.

Vihesabu viwili, wahanga wawili tofauti

Kizuizi cha kasi huangalia chanzo na kuuliza ni majaribio mangapi yalikuja kutoka hapo hivi karibuni. Kufunga huangalia utambulisho na kuuliza ni kushindwa ngapi akaunti imekusanya. Cha kwanza hulinda upatikanaji, cha pili vibali; hakuna kinachobadilisha kingine.

Ndiyo sababu sentensi tunazuia IP baada ya kushindwa mara tano si jibu kwa ripoti ya kujaza vibali. Mshambuliaji hubadilisha vyanzo, kila kimoja hupata majaribio machache, na akaunti haijahesabiwa kamwe. Kinyume chake, kufunga bila udhibiti wa chanzo humruhusu mshambuliaji kuweka akaunti imefungwa bila kikomo kwa kushindwa kwa makusudi.

Vidhibiti viwili vina historia tofauti za urejeshaji. Marufuku ya anwani huisha kwa kipima muda ambacho hakuna anayehitaji kufikiria; kufunga akaunti kunaweza kuhitaji msimamizi, kipindi cha kusubiri kilichoandikwa au urejeshaji wa kujihudumia.

Tafuta hifadhi inayomiliki hesabu tayari

Kabla ya kuongeza kitu chochote, tambua kama hifadhi ya kushindwa ipo tayari. Akaunti ya Linux ya ndani, huduma ya saraka na mtoa utambulisho wa nje kila mmoja huweka hesabu yake, na moduli ya PAM iliyowekwa mbele yao huunda ya pili badala ya kupanua ya kwanza.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Soma faili ya huduma ambayo VPN inaitaja kweli na fuata mistari yake ya kujumuisha. Katika usambazaji mwingi huduma ya VPN hujumuisha faili ya pamoja, kumaanisha hesabu unayorekebisha inatumika pia kwa SSH na kuingia kwa ndani.

Ikiwa saraka tayari inalazimisha kufunga, swali la manufaa ni jinsi mazungumzo ya PAM yanafikia uamuzi huo na jinsi VPN inavyoripoti. Hesabu ya ndani juu haifanyiki kihesabu cha saraka, na sera mbili zinaweza kutokubaliana ni lini akaunti inafunguliwa.

pam_faillock ina sehemu tatu za wito, si moja

Moduli hutenganisha shughuli tatu ambazo mstari mmoja ulionakiliwa huzififisha: kuangalia kama akaunti imefungwa tayari, kurekodi kushindwa na kufuta historia baada ya mafanikio.

Hapa ndipo uhamishaji kutoka moduli ya zamani ya kuhesabu hukosea. Kunakili mstari kutoka mfano pam_tally2 unaofanya kazi kwenda mkusanyiko pam_faillock si kubadilisha jina; usanidi ulioandikwa ni tofauti, na wito uliowekwa mahali pasipofaa unaweza kurekodi kushindwa bila kukagua kamwe.

faillock --user alice
faillock --user alice --reset

Zana ya ukaguzi ni njia ya haraka zaidi kuona kama kihesabu ni cha kweli: huonyesha kushindwa zilizorekodiwa kwa akaunti na inaweza kuzifuta. Ikiwa kushindwa kulikodhibitiwa hakubadilishi matokeo hayo, mahali pa wito si sahihi.

Jina maalum la huduma si kutenganisha

Kumpa VPN faili yake ya huduma ya PAM hufanya sera inayokusudiwa ionekane, lakini haizuii athari. Kujumuisha faili ya pamoja huleta kinachofanywa na faili hiyo, ikiwa ni pamoja na hesabu za mfumo mzima.

Amua waziwazi kama kufunga kutafunika ufikiaji wa VPN pekee au kila huduma inayothibitisha akaunti hiyo hiyo. Majibu yote mawili yanatablekiwa; kushindwa ni kuamini umechagua kimoja wakati mkusanyiko unatekeleza kingine.

Kisha zingatia gharama. Mshambuliaji anaweza kusababisha kufunga, na mtumiaji anayeteseka ni mmiliki wa akaunti. Kiwango, kipindi cha kusubiri na njia ya urejeshaji wa kiutawala ni sehemu ya sera, na urejeshaji haupaswi kutegemea kusanidi VPN upya wakati wa tukio.

Kubali mfuatano, si kukataliwa kumoja

Jaribu kwa utambulisho ulioteuliwa chini ya mpango ulioidhinishwa, na jaribu mnyororo badala ya tukio moja: akaunti halali huthibitisha, nenosiri lililokosewa kwa makusudi husogeza kihesabu, kufunga kulikosanidiwa huanza kutumika, na urejeshaji ulioandikwa hurejesha ufikiaji.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Angalia tabia ya mafanikio kwa umakini sawa na ile ya kushindwa. Ikiwa kuingia kwa mafanikio hakufuti historia, akaunti itafungwa baada ya mkusanyiko wa polepole wa makosa ya kawaida. Ikiwa hufuta kila kitu kutoka kila huduma, kihesabu ni dhaifu kuliko inavyodai sera.

Mwishowe, simamisha wateja wasiosimamiwa kabla ya kutangaza ushindi. Vibali vilivyohifadhiwa vinavyojaribu tena chinichini vitaunda tena kushindwa dakika chache baada ya urejeshaji na kufunga akaunti tena. Udhihirisho wa kasi kwa msingi wa chanzo unaweza kubaki kama udhibiti wa ziada, lakini si sera ya akaunti.