கணக்குப் பூட்டு மற்றும் முகவரித் தடை: OpenVPN உண்மையில் எங்கே எண்ணுகிறது

முகவரியைத் தடுப்பதும் கணக்கைப் பூட்டுவதும் வெவ்வேறு வழிமுறைகள், அவை எதிர் திசைகளில் தோல்வியடைகின்றன. முகவரித் தடை ஒரு மூலத்தை நிறுத்துகிறது, இலக்குக் கணக்கு வேறு இடத்திலிருந்து அணுகக்கூடியதாகவே இருக்கும்; கணக்குப் பூட்டு அந்த அடையாளத்தை எல்லா இடத்திலும் நிறுத்துகிறது, பயனரின் சொந்த மடிக்கணினியிலும்.

அங்கீகாரத்தை PAM க்கு ஒப்படைக்கும் VPN க்கு, எண்ணிக்கை என்பது PAM அடுக்கு அடையும் இடம், கேட்பவர் பதிவு செய்தது அல்ல.

இரண்டு எண்ணிக்கைகள், இரண்டு வெவ்வேறு பாதிக்கப்பட்டவர்கள்

வேகக் கட்டுப்படுத்தி ஒரு மூலத்தைப் பார்த்து சமீபத்தில் அதிலிருந்து எத்தனை முயற்சிகள் வந்தன எனக் கேட்கிறது. பூட்டு ஒரு அடையாளத்தைப் பார்த்து அந்தக் கணக்கு எத்தனை தோல்விகளைச் சேர்த்தது எனக் கேட்கிறது. முதலாவது கிடைப்புத்திறனைப் பாதுகாக்கிறது, இரண்டாவது சான்றுகளை; ஒன்று மற்றொன்றுக்கு மாற்றாகாது.

எனவே ஐந்து தோல்விகளுக்குப் பிறகு IP ஐத் தடுக்கிறோம் என்பது சான்று நிரப்பல் அறிக்கைக்கான பதில் அல்ல. தாக்குபவர் மூலங்களை மாற்றுகிறார், ஒவ்வொன்றும் சில முயற்சிகளைப் பெறுகிறது, கணக்கு ஒருபோதும் எண்ணப்படுவதில்லை. மாறாக, மூலக் கட்டுப்பாடு இல்லாத பூட்டு தாக்குபவரை வேண்டுமென்றே தோல்வியடைந்து கணக்கை வரம்பின்றி பூட்டி வைக்க அனுமதிக்கிறது.

இரண்டு கட்டுப்பாடுகளுக்கும் வெவ்வேறு மீட்புக் கதைகள் உண்டு. முகவரித் தடை யாரும் சிந்திக்க வேண்டியதில்லாத நேரங்கணிப்பியில் முடிகிறது; கணக்குப் பூட்டுக்கு நிர்வாகி, எழுதப்பட்ட காத்திருப்புக் காலம் அல்லது சுய சேவை மீட்டமைப்பு தேவைப்படலாம்.

ஏற்கனவே எண்ணிக்கையை வைத்திருக்கும் சேமிப்பகத்தைக் கண்டறியுங்கள்

எதையும் சேர்ப்பதற்கு முன் தோல்விச் சேமிப்பகம் ஏற்கனவே உள்ளதா எனக் கண்டறியுங்கள். உள்ளூர் Linux கணக்கு, அடைவுச் சேவை மற்றும் வெளிப்புற அடையாள வழங்குநர் ஒவ்வொன்றும் தனது எண்ணிக்கையை வைத்திருக்கின்றன, அவற்றின் முன் வைக்கப்படும் PAM தொகுதி முதன்மையை விரிவாக்குவதற்குப் பதிலாக இரண்டாவதை உருவாக்குகிறது.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

VPN உண்மையில் பெயரிடும் சேவைக் கோப்பைப் படித்து அதன் சேர்க்கை வரிகளைப் பின்பற்றுங்கள். பல விநியோகங்களில் VPN சேவை பொதுக் கோப்பைச் சேர்க்கிறது, அதாவது நீங்கள் சரிசெய்யும் எண்ணிக்கை SSH மற்றும் உள்ளூர் உள்நுழைவுகளுக்கும் பொருந்தும்.

அடைவு ஏற்கனவே பூட்டை விதித்தால், பயனுள்ள கேள்வி என்னவென்றால் PAM உரையாடல் அந்த முடிவை எவ்வாறு அடைகிறது, VPN அதை எவ்வாறு தெரிவிக்கிறது என்பதே. மேலே சேர்க்கப்படும் உள்ளூர் எண்ணிக்கை அடைவின் எண்ணாகாது, இரண்டு கொள்கைகளும் கணக்கு எப்போது திறக்கப்படும் என்பதில் ஒத்துக்கொள்ளாமல் போகலாம்.

pam_faillock க்கு ஒன்றல்ல, மூன்று அழைப்பு இடங்கள் உள்ளன

தொகுதி ஒரு நகலெடுக்கப்பட்ட வரி மங்கச் செய்யும் மூன்று செயல்பாடுகளைப் பிரிக்கிறது: கணக்கு ஏற்கனவே பூட்டப்பட்டுள்ளதா எனச் சரிபார்த்தல், தோல்வியைப் பதிவு செய்தல், வெற்றிக்குப் பிறகு வரலாற்றை அழித்தல்.

பழைய எண்ணிக்கைத் தொகுதியிலிருந்து இடமாற்றம் பொதுவாக இங்கே தவறுகிறது. வேலை செய்யும் pam_tally2 எடுத்துக்காட்டிலிருந்து வரியை pam_faillock அடுக்குக்கு நகலெடுப்பது பெயர் மாற்றம் அல்ல; எழுதப்பட்ட அமைப்பு வேறுபடுகிறது, தவறான இடத்தில் வைக்கப்பட்ட அழைப்பு தோல்விகளை ஒருபோதும் சரிபார்க்காமல் பதிவு செய்யலாம்.

faillock --user alice
faillock --user alice --reset

சரிபார்ப்புக் கருவி எண்ணிக்கை உண்மையானதா எனப் பார்க்க வேகமான வழி: அது ஒரு கணக்கின் பதிவுசெய்யப்பட்ட தோல்விகளைக் காட்டி அவற்றை அழிக்கவும் முடியும். கட்டுப்படுத்தப்பட்ட தோல்வி அந்த வெளியீட்டை மாற்றவில்லை என்றால், அழைப்பின் இடம் தவறு.

தனிப்பட்ட சேவைப் பெயர் தனிமைப்படுத்தல் அல்ல

VPN க்கு அதன் சொந்த PAM சேவைக் கோப்பைக் கொடுப்பது நோக்கமான கொள்கையைத் தெரியப்படுத்துகிறது, ஆனால் விளைவைக் கட்டுப்படுத்தாது. பொதுக் கோப்பின் எந்தச் சேர்க்கையும் அந்தக் கோப்பு செய்வதைக் கொண்டுவரும், முழு அமைப்பிற்குமான எண்ணிக்கைகள் உட்பட.

பூட்டு VPN அணுகலை மட்டும் மூடுகிறதா அல்லது அதே கணக்கை அங்கீகரிக்கும் ஒவ்வொரு சேவையையும் மூடுகிறதா எனத் தெளிவாக முடிவு செய்யுங்கள். இரண்டு பதில்களும் பாதுகாக்கத்தக்கவை; தோல்வி என்பது ஒன்றைத் தேர்ந்தெடுத்ததாக நம்பும்போது அடுக்கு மற்றொன்றைச் செயல்படுத்துவது.

பின்னர் செலவைக் கவனியுங்கள். தாக்குபவர் பூட்டை ஏற்படுத்தலாம், துன்பப்படும் பயனர் அந்தக் கணக்கின் உரிமையாளர். வரம்பு, காத்திருப்புக் காலம் மற்றும் நிர்வாக மீட்புப் பாதை கொள்கையின் பகுதி, சம்பவத்தின் போது VPN ஐ மறுகட்டமைப்பதை மீட்பு சார்ந்திருக்கக் கூடாது.

ஒரு மறுப்பல்ல, வரிசையை ஏற்றுக்கொள்ளுங்கள்

அங்கீகரிக்கப்பட்ட திட்டத்தின் கீழ் நியமிக்கப்பட்ட அடையாளங்களுடன் சோதிக்கவும், ஒரு நிகழ்வுக்குப் பதிலாக ஒரு சங்கிலியைச் சோதிக்கவும்: செல்லுபடியான கணக்கு அங்கீகரிக்கிறது, வேண்டுமென்றே தவறான கடவுச்சொல் எண்ணிக்கையை நகர்த்துகிறது, கட்டமைக்கப்பட்ட பூட்டு நடைமுறைக்கு வருகிறது, பதிவுசெய்யப்பட்ட மீட்பு அணுகலைத் திருப்பித் தருகிறது.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

வெற்றியின் நடத்தையைத் தோல்வியின் அளவுக்குக் கவனமாகப் பாருங்கள். வெற்றிகரமான உள்நுழைவு வரலாற்றை அழிக்கவில்லை என்றால், சாதாரண தவறுகள் மெதுவாகக் குவிந்த பிறகு கணக்கு பூட்டப்படும். ஒவ்வொரு சேவையிலிருந்தும் எல்லாவற்றையும் அழித்தால், எண்ணிக்கை கொள்கை கூறுவதை விட பலவீனமானது.

இறுதியாக, வெற்றியை அறிவிப்பதற்கு முன் கண்காணிப்பற்ற வாடிக்கையாளர்களை நிறுத்துங்கள். சேமிக்கப்பட்ட சான்றுகள் பின்னணியில் மீண்டும் முயன்று மீட்புக்குப் பிறகு சில நிமிடங்களில் தோல்விகளை மீண்டும் உருவாக்கி கணக்கை மீண்டும் பூட்டும். மூல அடிப்படையிலான வேக வரம்பு கூடுதல் கட்டுப்பாடாக இருக்கலாம், ஆனால் அது கணக்குக் கொள்கை அல்ல.