Kwa nini kuhariri faili ya .ovpn hakuwezi kuwasha MFA kwenye seva

Unaongeza auth-user-pass kwenye wasifu, unganisha tena, na mteja anauliza jina la mtumiaji na nenosiri. Inaonekana MFA imewashwa. Kisha unaandika msimbo kutoka akaunti isiyo sahihi, au msimbo ulioisha dakika kumi zilizopita, na handaki bado inapanda. Hiyo ndiyo dalili: mteja ulibadilika, seva haikubadilika. Nenosiri la mara moja ni kipengele tu wakati kithibitishaji kwenye seva kinaamua ikiwa ni halali kwa utambulisho unaoidai.

Ombi linathibitisha tu kwamba mteja aliuliza, hakuna zaidi

Faili ya .ovpn ni hati ya upande wa mteja. Inaweza kumwambia mteja aombe vitambulisho, avihifadhi kwenye akiba au aache kufanya hivyo. Haiwezi kusajili mtumiaji, kufunga moduli ya PAM, au kulazimisha seva kudai kipengele cha pili ambacho haikikagui sasa.

Kufunga programu ya uthibitishaji kwenye simu pia hakuundi uhusiano huo. Mradi wa Google Authenticator PAM ni sehemu ya uthibitishaji wa OTP ambayo inaweza kukaa nyuma ya OpenVPN; si njia ya kubandika kuingia kwa akaunti ya Google kwenye wasifu ulioingizwa.

Usajili ndio sehemu ambayo wasifu hauwezi kuifanya

TOTP inahitaji nyenzo za usajili zinazoshirikiwa kati ya programu ya uthibitishaji na kithibitishaji chake. Tarakimu sita kwenye simu ni matokeo; mbegu iliyo nyuma yao ni siri, na ni ya utambulisho mmoja.

Kwa hiyo mwendeshaji anahitaji mchakato wa usajili unaounganisha mbegu sahihi na utambulisho sahihi wa VPN, pamoja na njia ya uingizwaji iliyothibitishwa kwa simu iliyopotea. Kuwaruhusu watumiaji kupakia faili iliyopewa jina lao hugeuza usajili kuwa fursa ya kunyakua akaunti, na kusimba upakiaji hakubadilishi hilo.

Muundo unaotegemea PAM hauhitaji kuunda akaunti tofauti ya Unix kwa kila mtumiaji wa VPN. Nyaraka za moduli zinaunga mkono njia mbadala za siri na akaunti maalum kwa ufikiaji wa faili, ambayo ni utambulisho wa mfumo wa faili, si utambulisho wa kuingia unaothibitishwa.

Kosa la kawaida ni njia maalum ya siri inayoishia kwa jina moja la mtumiaji, iliyonakiliwa kutoka kwa mfano wa mtumiaji mmoja. Hiyo ni onyesho la utambulisho mmoja, si utafutaji kwa kila mtumiaji, na kuitumia kwa kila ombi hakimpi mtu yeyote programu ya uthibitishaji iliyosajiliwa kwa kujitegemea. Andika ramani ya utambulisho, linda faili za mbegu, na uweke ukaguzi wa nenosiri, cheti na akaunti katika staki moja ya uthibitishaji.

Soma staki ya PAM ili kuona kinachohitajika kwa kweli

Mstari kama account required pam_permit.so hautekelezi ustahiki wa akaunti na hauongezi kipengele. Unaruhusu hatua hiyo ya usimamizi wa akaunti ya PAM, ambayo ni tamko kuhusu hatua na si kuhusu watumiaji wako.

Vivyo hivyo kwa chaguo za usajili zinazoruhusu. Kukubali watumiaji wasio na siri iliyosajiliwa kunaweza kuwa uamuzi wa makusudi wa uenezaji, lakini si uthibitisho kwamba MFA ni lazima, na inapaswa kuandikwa kama msamaha wa muda wenye tarehe ya mwisho.

Oanisha mwingiliano wa mteja na muundo wa seva

auth-user-pass

Agizo hilo linaomba ingizo la jina la mtumiaji na nenosiri. Haliweki PAM, halitengenezi rekodi ya usajili, na haliwambii seva kwamba sehemu ya nenosiri ina thamani ya TOTP. Muunganisho wa seva na mteja lazima wakubaliane kuhusu mwingiliano ambao uenezaji unauunga mkono kwa kweli: changamoto, umbizo la vitambulisho lililounganishwa lililoandikwa, au mtiririko maalum wa bidhaa.

Usiongeze msimbo kwenye nenosiri kwa sababu tu mteja anaonyesha sehemu moja. Hiyo inafanya kazi tu pale programu-jalizi ya seva inatarajia umbizo hilo hasa, na inashindwa kwa mkanganyiko kila mahali pengine.

Weka mbegu na nyenzo za QR mbali na wasifu zinazoshirikiwa na kumbukumbu za kawaida za uchunguzi. Msimbo uliowasilishwa kupitia kituo cha kuingia kilichothibitishwa si kitu kimoja na mbegu iliyotolewa wakati wa usajili unaodhibitiwa, na kuzichanganya katika tikiti ya usaidizi ndiyo njia ambayo siri hutoka.

Kuunganisha tena, tokeni na jaribio linaloamua jambo

Panga kinachotokea baada ya kuingia kwa mafanikio mara ya kwanza. Msimbo uliokubaliwa hapo awali unaweza kuwa umeisha au kukataliwa kama kurudia katika uthibitishaji unaofuata. auth-nocache inadhibiti uhifadhi wa vitambulisho na haiweki MFA, na reneg-sec 0 si ufafanuzi wa usaidizi wa TOTP, hata kama inaonekana mara ngapi katika nyuzi za jukwaa.

Baadhi ya uenezaji hutoa tokeni za uthibitishaji baada ya ukaguzi wa awali ili kuunganisha tena kusiulize tena. Hiyo ni uamuzi wa muundo wenye dirisha lake la uhalali na historia yake ya kufuta, si chaguo-msingi unalorithi.

Kisha jaribu sera ya uandikishaji na mteja ambao watu wanautumia kwa kweli. Mtumiaji aliyesajiliwa mwenye nenosiri, cheti na msimbo wa sasa sahihi anapaswa kuunganishwa. Msimbo usio sahihi, mtumiaji asiye na usajili na akaunti iliyokatazwa kila mmoja anapaswa kushindwa, na sababu inapaswa kuonekana katika kumbukumbu ya seva. Hadi utakapoona kukataliwa huko, una ombi, si sera.