Weka kikomo cha kuingia OpenVPN kwa kundi moja kwa sera ya PAM

Acha kila akaunti iweze kuingia kawaida, lakini ruhusu kundi moja tu kutumia VPN. PAM inaweza kueleza tofauti hiyo bila hazina ya pili ya nenosiri, na programu-jalizi ya OpenVPN inaweza kuelekezwa kwenye huduma iliyo na ukaguzi unaokusudia tu. Ujanja ni kujenga huduma hiyo bila kurithi kwa bahati mbaya rafu ya mfumo mzima.

Safari hapa inaanza na jina la huduma la programu-jalizi, inajenga sera, kisha inajaribu matokeo matatu muhimu: mwanachama, mtu wa nje mwenye nenosiri halali na kitambulisho kibaya.

Kwa nini huduma tofauti ya PAM

Programu-jalizi ya auth-pam inachukua jina la huduma kama hoja yake. Jina hilo huchagua faili chini ya /etc/pam.d, na rafu iliyo katika faili hiyo ndiyo inayotekelezwa wakati wa kuingia VPN. Ukitoa jina lilelile linalotumiwa na kuingia kwa mfumo mzima, unarithi kila uamuzi katika rafu hiyo, ikiwa ni pamoja na yale yaliyoongezwa baadaye kwa sababu zisizohusiana.

Badala yake tengeneza huduma maalum. Anza na rafu inayofanya kazi ambayo tayari inathibitisha dhidi ya backend iliyokusudiwa, kama faili la nenosiri la ndani, SSSD au huduma ya saraka, kisha ongeza kanuni ya ustahiki. Kunakili mistari miwili kwenye faili tupu ni kosa la kawaida: kuisha kwa nenosiri, kufungwa kwa akaunti na ukaguzi mwingine vinaweza kuwa kwenye rafu ambayo hukuinakili.

Kutenganisha huduma pia hupunguza wigo wa uharibifu. Kanuni ya VPN pekee katika rafu inayoshirikiwa inaweza kuwanyima wote ufikiaji wa SSH au konsoli, jambo ambalo hugeuza mabadiliko ya ufikiaji kuwa kukatika.

Kuandika kanuni ya kundi

Ukaguzi wa ustahiki ni wa awamu ya akaunti, baada ya kitambulisho kuthibitishwa. Kanuni kama account required pam_succeed_if.so user ingroup vpnusers huruhusu uchakataji kuendelea tu wakati mtumiaji aliyethibitishwa ni mwanachama wa kundi hilo.

Mstari huo ni kipande, si huduma kamili. Unganisha mahali ambapo kila njia inayokubaliwa hufika, na uangalie bendera za udhibiti kuzunguka. Udhibiti wa sufficient au kuruka mapema kwenye rafu unaweza kumaliza uchakataji kabla kanuni yako haijafanya kazi, jambo ambalo hugeuza kizuizi kuwa pendekezo.

Usiongeze use_uid kwa mazoea. Bila hiyo moduli hutathmini mtumiaji anayethibitishwa; pamoja nayo moduli hutathmini akaunti ambayo mchakato wa OpenVPN unaendeshwa chini yake, ambayo kwa kawaida ni root au akaunti ya huduma na kwa hivyo si mtu anayeingia.

Uanachama wa kundi unatoka kwenye utatuzi wa utambulisho wa mfumo, si kwa jina unalolijua. Kwa watumiaji wa saraka, thibitisha kuwa backend hiyo hiyo inajibu maswali ya kundi kwa mtumiaji huyo, kwa sababu kundi la ndani lenye jina linalojulikana ni kitu tofauti na kundi la saraka lenye jina lilelile.

Mitego ya mpangilio na utambulisho

Weka kanuni ya kundi baada ya rafu ya uthibitishaji na baada ya kila ukaguzi ambao bado unapaswa kutumika, lakini kabla au kando ya ukaguzi wa akaunti unaozihifadhi. PAM hutathmini moduli kwa mpangilio wa faili, na thamani ya udhibiti kwenye kila mstari huamua kama kushindwa ni kwa mwisho.

Jihadharini na rafu zilizojirudia. Muundo wa kawaida ni include ambayo tayari ina kanuni ya akaunti, ikifuatiwa na kanuni yako ya kundi, ambayo huzalisha maamuzi mawili mahali ulipokuwa ukitarajia moja. Soma faili iliyojumuishwa, si lile ulilohariri tu. Njia ya haraka ya kuona mpangilio halisi ni kusoma faili kutoka juu hadi chini na kuandika kila thamani ya udhibiti.

Weka mahitaji mengine ya kuingia bila kuyaathiri. Nenosiri lililofanikiwa halibadilishi ukaguzi wa cheti, sababu ya pili au idhini baada ya muunganisho, na sera hii si badala ya yoyote kati ya hizo. Inaamua tu kama akaunti inastahili kuzingatiwa kwa ufikiaji wa VPN.

Kujaribu wanachama, watu wa nje na nenosiri zisizo sahihi

Jaribu hali tatu kabla ya kuchukulia sera imekamilika. Mwanachama anajiunga kwa mafanikio. Akaunti halali nje ya kundi inathibitisha nenosiri lake lakini inanyimwa ufikiaji wa VPN. Nenosiri lisilo sahihi kwa akaunti yoyote linakataliwa katika awamu ya uthibitishaji, si kwa kanuni ya kundi.

Tazama hitilafu inayoonekana kwa mteja na logi ya seva pamoja, kwa sababu kushindwa kote kunaweza kuonekana sawa kwa mtu anayeunganisha. Tofauti ni muhimu kwa msaada: mtu wa nje mwenye nenosiri sahihi anahitaji mabadiliko ya kundi, wakati nenosiri lisilo sahihi linahitaji kuweka upya kitambulisho.

Weka kikao cha pili wazi unapohariri PAM, na uthibitishe pia kuingia kawaida kwa SSH baada ya mabadiliko. Lengo la huduma maalum ni kwamba kuingia kwa mfumo kunapaswa kubaki bila kuathiriwa, na njia pekee ya kujua ni kuijaribu.

Ikiwa kitu kitavunjika, rejesha faili la huduma lililopita kutoka nakala. Kanuni unayotaka ni rahisi kusema: uanachama humfanya akaunti kustahili ufikiaji wa VPN, na kila ukaguzi mwingine unaohitajika bado unatumika.