OpenVPN இல் LDAP அங்கீகாரம் வேலை செய்கிறது ஆனால் குழு சரிபார்ப்பு தோல்வியடைகிறது: எங்கு பார்க்க வேண்டும்

அங்கீகாரம் கடந்து செல்லலாம் ஆனால் குழு சரிபார்ப்பு அனைவரையும் நிராகரிக்கிறது. Authorization தொகுதி, உறுப்பினர் பண்பு மற்றும் அடைவு முடிவுப்புள்ளி ஆகியவற்றை ஒவ்வொன்றாகப் பார்க்கவும்.

சான்றுகள் கடந்து செல்கின்றன, சுரங்கப்பாதை உயரத் தொடங்குகிறது, பின்னர் அமர்வு கடவுச்சொல் பற்றியல்ல, குழு பற்றிய செய்தியுடன் தோல்வியடைகிறது. அந்தக் கலவை தோல்வியை LDAP செருகுநிரலின் வேலையின் இரண்டாம் பாதியில் வைக்கிறது: இணைப்பும் கடவுச்சொல் சரிபார்ப்பும் வெற்றியடைந்தன, அதைத் தொடர்ந்த உறுப்பினர் முடிவு வெற்றியடையவில்லை. இரு பாதிகளும் ஒரே உள்ளமைவுத் தொகுதியிலிருந்து படிக்கின்றன, அதனால் ஒரு இடத்தில் செய்யும் திருத்தம் மற்றதைத் தீண்டாமல் விடலாம். படியைப் பெயரிடும் பதிவு வரியிலிருந்து தொடங்குங்கள், நீங்கள் தற்செயலாகச் சோதிக்கும் கணக்கிலிருந்து அல்ல.

நிராகரிப்பை அனுமதியின் பதிலாகக் கருதுங்கள்

செருகுநிரல் சேவை இணைப்பைச் செய்கிறது, கணக்கைத் தேடுகிறது, வழங்கப்பட்ட கடவுச்சொல்லைச் சரிபார்க்கிறது, பின்னர் அந்தக் கணக்கு அனுமதிக்கப்பட்ட குழுவைச் சேர்ந்ததா என்று கேட்கிறது. இவை நான்கு வெவ்வேறு செயல்பாடுகள், கடைசி ஒன்று மட்டுமே குழுக்கள் பற்றியது. எனவே வெற்றிகரமான இணைப்பிற்குப் பின் வரும் நிராகரிப்பு கடவுச்சொல் பற்றி எதுவும் சொல்லாது, வாடிக்கையாளர் பொதுவான அங்கீகாரப் பிழையைக் காட்டினாலும். உள்ளமைவை மாற்றுவதற்கு முன் செருகுநிரலின் பதிவு நிலையை உயர்த்துவதே வெளியீட்டில் அந்த நான்கையும் பிரிக்கிறது.

குழு மதிப்பீட்டையே தேடுங்கள். குழு வினவல் எதுவும் தோன்றவே இல்லை என்றால், அனுமதித் தொகுதி அடையப்படவில்லை, இதன் பொருள் பொதுவாக ஒரு வழிமுறை அதைக் கொண்டிருக்கும் தொகுதிக்கு வெளியே உள்ளது அல்லது கட்டாய விருப்பம் இல்லை என்பதாகும். வினவல் தோன்றி எதையும் திருப்பித் தரவில்லை என்றால், முடிவுப்புள்ளி அல்லது வடிகட்டி நீங்கள் கருதியதைக் காட்டிலும் வேறு கேள்விக்குப் பதிலளிக்கிறது.

உறுப்பினர் நிலை வடிகட்டியில் வாழ்கிறதா குழுத் தொகுதியில் வாழ்கிறதா என்பதைத் தீர்மானியுங்கள்

ஆதரிக்கப்படும் இரண்டு வடிவங்கள் உள்ளன, அவற்றைக் கலப்பதே வேலை செய்யும் உள்ளமைவு வேலை செய்வதை நிறுத்தும் வழி. முதலாவது பயனர் பொருளில் ஒரு பண்பைக் கேட்டு உறுப்பினர் நிலையைப் பயனர் தேடலுக்குள் தள்ளுகிறது; இரண்டாவது பயனர் தேடலை அப்படியே விட்டுவிட்டு பின்னர் செருகுநிரல் குழு பொருளைத் தேட அனுமதிக்கிறது. ஒவ்வொரு பயன்பாட்டிற்கும் ஒன்றைத் தேர்ந்தெடுத்து எதைத் தேர்ந்தெடுத்தீர்கள் என்று எழுதுங்கள்.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(&(sAMAccountName=%u)(memberOf=CN=VPN Access,OU=Groups,DC=example,DC=org))"
    RequireGroup false
</Authorization>

அந்த வடிவத்தில் வடிகட்டி எல்லாவற்றையும் தீர்மானிக்கிறது, எனவே RequireGroup false ஆக இருக்க வேண்டும், இல்லையெனில் வடிகட்டி ஒருபோதும் குறிப்பிடாத குழு பொருளைத் தேட செருகுநிரல் செல்லும். வடிகட்டியில் உள்ள பண்பு பயனர் பொருளில் இருக்க வேண்டும் மற்றும் நிரப்பப்பட்டிருக்க வேண்டும், குழுக்கள் உள்ளடங்கியதும் இது உறுதியளிக்கப்படவில்லை.

மற்ற வடிவம் தேடலை எளிமையாக வைத்து அதன் பின் குழுத் தேடலைச் சேர்க்கிறது. குழு பொருள் வெளிப்படையாகப் பெயரிடப்படுகிறது, மேலும் செருகுநிரல் பயனரை அடைவு அதற்காகத் திருப்பித் தரும் உறுப்பினர்களுடன் ஒப்பிடுகிறது. பயனர் வடிகட்டியில் எதுவும் மாறாது, இது குழுவை மற்றொரு குழு நிர்வகிக்கும்போது இந்த வடிவத்தைச் சரிபார்க்க எளிதாக்குகிறது.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(sAMAccountName=%u)"
    RequireGroup true
    Group        "CN=VPN Access,OU=Groups,DC=example,DC=org"
</Authorization>

குருட்டு இடம் பொதுவானது: எளிய உறுப்பினர் ஒப்பீடு உள்ளடங்கிய குழுக்களை விரிவாக்காது, எனவே பெற்றோர் குழு வழியாக அணுகல் வரும் கணக்கு தோல்வியடைகிறது, கன்சோல் இன்னும் உறுப்பினர் நிலையைக் காட்டுகிறது. Active Directory குழுவில் member ஐ வெளிப்படுத்துகிறது, பிற திட்டங்கள் uniqueMember ஐப் பயன்படுத்துகின்றன, தவறான பண்பைச் சுட்டிக்காட்டினால் பிழைக்குப் பதிலாக காலி முடிவு வரும்.

குழு பொருளைக் கொண்ட முடிவுப்புள்ளியைத் தேர்ந்தெடுங்கள்

URL செருகுநிரல் எந்த அடைவைக் கேட்கிறது என்பதைத் தீர்மானிக்கிறது, 389 துறைமுகத்தில் உள்ள களக் கட்டுப்படுத்தி தன் சொந்தப் பெயரிடல் சூழலுக்கு மட்டுமே பதிலளிக்கிறது. 3268 துறைமுகத்தில் உள்ள உலகளாவிய பட்டியல் முழு வனத்திற்கும் பதிலளிக்கிறது, படிக்க மட்டும் மற்றும் பகுதி பண்புத் தொகுப்புடன். கணக்குகள் ஒரு களத்திலும் VPN குழு மற்றொன்றிலும் இருக்கும்போது, ஒற்றைக் கள வினவல் பயனரைக் கண்டுபிடித்தும் உறுப்பினர் நிலையைத் தவறவிடலாம். URL ஐ பட்டியல் துறைமுகத்திற்கு நகர்த்துவது நிராகரிப்பைத் தீர்க்கும் நிலை இதுவே, மேலும் மக்கள் அதிகமாகப் பொதுமைப்படுத்தும் நிலையும் இதுவே.

பகுதி பண்புத் தொகுப்பே எல்லை: பட்டியல் வைத்திராத பண்பில் வடிகட்ட முடியாது, எனவே அதே மாற்றம் ஒரு பயன்பாட்டை வேலை செய்ய வைக்கலாம் மற்றொன்று எதையும் திருப்பித் தராமல் இருக்கலாம். தொகுதியை மீண்டும் எழுதுவதற்கு முன் உண்மையான பயனர் மற்றும் குழுவுக்கு முடிவுப்புள்ளி உண்மையில் என்ன திருப்பித் தருகிறது என்பதை உறுதிப்படுத்துங்கள். பரிந்துரைகள் மற்றும் TLS மீண்டும் தனித்துவமான விஷயங்கள், ஏனெனில் பரிந்துரையைப் பின்தொடர வேண்டும், TLS தேவைப்படும் முடிவுப்புள்ளிக்கு பொருந்தும் நம்பிக்கை கோப்புகள் தேவை.

கணக்கு நிலை மற்றும் தேடல் எல்லையை அவற்றின் சொந்தப் புலங்களில் வைத்திருங்கள்

முடக்கப்பட்ட கொடி வடிகட்டிக்கு உரியது, குழு சரிபார்ப்புக்கு அல்ல. Active Directory இல் இது userAccountControl இன் இரண்டாவது பிட், அந்த நிபந்தனை இல்லாமல் செல்லுபடியாகும் கடவுச்சொல்லுடன் முடக்கப்பட்ட கணக்கு அங்கீகாரம் பெற்று பின்னர் குழு படியில் தோல்வியடைகிறது, இது அனுமதிப் பிழை போலத் தெரிகிறது. தேடல் எல்லை அடிப்படை DN க்கு உரியது, ஏனெனில் கள மூலத்திலிருந்து தொடங்குவது மெதுவானது மற்றும் நீங்கள் மூட விரும்பிய நிறுவனப் பிரிவுக்கு வெளியே உள்ள பொருட்களுடன் பொருந்தலாம்.

இணைப்புக் கணக்கின் உரிமைகளையும் குறுகலாக வைத்திருங்கள். பரந்த அடைவு உரிமைகள் தவறாக உள்ளமைக்கப்பட்ட வடிகட்டியை வெற்றிகரமான வினவலாக மாற்றி, யாராவது கணக்கைத் தணிக்கை செய்யும் வரை பிழையை மறைக்கின்றன. உறுப்பினர் நிலையை அடைவிலேயே மாற்றுங்கள், ஒருபோதும் உள்ளூர் விதிவிலக்குப் பட்டியலில் இல்லை, அதனால் அணுகலை அகற்ற கணக்கை முடக்குவதே போதுமானதாக இருக்கும். குழுவை மற்றொரு குழு நிர்வகித்தால், அதன் மீது வடிகட்டி எழுதுவதற்கு முன் அவர்கள் நிரப்பும் பண்பில் உடன்படுங்கள்.

மூன்று கணக்குகளுடன் முடிவை நிரூபியுங்கள்

உள்ளமைவை மூன்று அடையாளங்களுக்கு எதிராக இயக்குங்கள்: அனுமதிக்கப்பட்ட உறுப்பினர், குழுவுக்கு வெளியே உள்ள செல்லுபடியாகும் கணக்கு, மற்றும் முடக்கப்பட்ட கணக்கு. மூன்றும் நிராகரிக்கப்பட்டால் இணைப்பு அல்லது குழு வினவல் உடைந்துள்ளது; மூன்றும் ஏற்றுக்கொள்ளப்பட்டால் எந்தக் குழு நிபந்தனையும் பயன்படுத்தப்படவில்லை. கலப்பு முடிவே உங்களுக்கு முக்கியமான நிலைகளை உள்ளமைவு வேறுபடுத்துகிறது என்பதை நிரூபிக்கும் ஒரே முடிவு.

செருகுநிரலைக் குறை கூறுவதற்கு முன் அதே மூன்று பதில்களை நேரடியாக அடைவிலிருந்து படியுங்கள். முதல் வினவல் வடிகட்டி சார்ந்திருக்கும் குழு பண்பைக் காட்டுகிறது, இரண்டாவது கணக்குக் கட்டுப்பாட்டு மதிப்பைக் காட்டுகிறது. உங்கள் சொந்த அடிப்படை DN, கணக்கு மற்றும் முடிவுப்புள்ளியை வைக்கவும்:

ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=alice)" memberOf
ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=bob)" userAccountControl

memberOf காலியாகத் திரும்பும் பயனர் அடைவின் உண்மை, செருகுநிரல் பிழை அல்ல, மேலும் முடக்கப்பட்ட பின்னும் அங்கீகாரம் பெறும் கணக்கு என்பது வடிகட்டியில் கணக்குக் கட்டுப்பாட்டு நிபந்தனை இல்லை என்பதாகும். முதலில் அந்த ஆதாரத்தைச் சரிசெய்து, பின்னர் மூன்று கணக்குச் சோதனையை மீண்டும் இயக்குங்கள். தோல்வியடைந்த படியைப் பெயரிட்ட பதிவு வரியை உள்ளமைவு மாற்றத்திற்கு அருகில் வைத்திருங்கள், அடுத்த நபர் தேடலை மீண்டும் செய்யாமல் அனுமதியை அங்கீகாரத்திலிருந்து பிரிக்க முடியும்.

தொடர்புடைய கட்டுரைகள்