PAM கொள்கையுடன் OpenVPN உள்நுழைவுகளை ஒரு குழுவுக்கு மட்டுப்படுத்துங்கள்

ஒவ்வொரு கணக்கும் வழக்கம்போல உள்நுழைய அனுமதியுங்கள், ஆனால் ஒரு குழு மட்டும் VPN பயன்படுத்த அனுமதியுங்கள். PAM இரண்டாவது கடவுச்சொல் கிடங்கு இல்லாமல் அந்த வேறுபாட்டை வெளிப்படுத்தும், OpenVPN செருகுநிரலை நீங்கள் நினைக்கும் சரிபார்ப்புகள் மட்டும் உள்ள சேவைக்கு செலுத்தலாம். தந்திரம் என்னவென்றால், கணினி அளவிலான அடுக்கை தற்செயலாக மரபுரிமையாகப் பெறாமல் அந்த சேவையை உருவாக்குவது.

இங்குள்ள பயணம் செருகுநிரலின் சேவைப் பெயரில் தொடங்குகிறது, ஒரு கொள்கையை உருவாக்குகிறது, பின்னர் முக்கியமான மூன்று முடிவுகளை சோதிக்கிறது: உறுப்பினர், செல்லுபடியாகும் கடவுச்சொல்லுடன் ஒரு வெளியாள் மற்றும் மோசமான சான்றுகள்.

தனி PAM சேவை ஏன்

auth-pam செருகுநிரல் அதன் வாதமாக சேவைப் பெயரை எடுக்கிறது. அந்தப் பெயர் /etc/pam.d கீழ் ஒரு கோப்பைத் தேர்ந்தெடுக்கிறது, அந்தக் கோப்பின் அடுக்கே VPN உள்நுழைவின் போது இயங்குகிறது. கணினி அளவிலான உள்நுழைவு பயன்படுத்தும் அதே பெயரை நீங்கள் கொடுத்தால், அந்த அடுக்கின் ஒவ்வொரு முடிவையும், பின்னர் தொடர்பில்லாத காரணங்களுக்காகச் சேர்க்கப்பட்டவையும் சேர்த்து மரபுரிமையாகப் பெறுவீர்கள்.

அதற்குப் பதிலாக பிரத்யேக சேவையை உருவாக்குங்கள். ஏற்கனவே நோக்கமிடப்பட்ட backend-க்கு எதிராக அங்கீகாரம் செய்யும் செயல்படும் அடுக்கிலிருந்து தொடங்குங்கள், உதாரணமாக உள்ளூர் கடவுச்சொல் கோப்பு, SSSD அல்லது அடைவு சேவை, பின்னர் தகுதி விதியைச் சேர்க்கவும். காலிக் கோப்பில் இரண்டு வரிகளை நகலெடுப்பது பொதுவான தவறு: கடவுச்சொல் காலாவதி, கணக்குப் பூட்டு மற்றும் பிற சரிபார்ப்புகள் நீங்கள் நகலெடுக்காத அடுக்கில் இருக்கலாம்.

சேவையைப் பிரிப்பது சேதத்தின் அளவையும் மட்டுப்படுத்துகிறது. பகிரப்பட்ட அடுக்கில் VPN-க்கு மட்டும் உள்ள விதி அனைவருக்கும் SSH அல்லது பணியக அணுகலை மறுக்கலாம், இது அணுகல் மாற்றத்தை இடையூறாக மாற்றுகிறது.

குழு விதியை எழுதுதல்

தகுதி சரிபார்ப்பு சான்று சரிபார்க்கப்பட்ட பிறகு கணக்கு கட்டத்திற்கு உரியது. account required pam_succeed_if.so user ingroup vpnusers போன்ற விதி, அங்கீகரிக்கப்பட்ட பயனர் அந்தக் குழுவின் உறுப்பினராக இருந்தால் மட்டுமே செயலாக்கம் தொடர அனுமதிக்கிறது.

அந்த வரி ஒரு துண்டு, முழுமையான சேவை அல்ல. ஏற்றுக்கொள்ளப்பட்ட ஒவ்வொரு பாதையும் அதை அடையும் இடத்தில் அதை ஒருங்கிணைக்கவும், அதைச் சுற்றியுள்ள கட்டுப்பாட்டுக் கொடிகளைச் சரிபார்க்கவும். அடுக்கில் முன்பே உள்ள sufficient அல்லது தாவல் கட்டுப்பாடு உங்கள் விதி இயங்கும் முன்பே செயலாக்கத்தை முடிக்கலாம், இது கட்டுப்பாட்டை ஒரு பரிந்துரையாக மாற்றுகிறது.

பழக்கத்தின் காரணமாக use_uid சேர்க்க வேண்டாம். அது இல்லாமல் தொகுதி அங்கீகரிக்கப்படும் பயனரை மதிப்பிடுகிறது; அதனுடன் தொகுதி OpenVPN செயல்முறை இயங்கும் கணக்கை மதிப்பிடுகிறது, அது பொதுவாக root அல்லது சேவைக் கணக்கு, எனவே உள்நுழையும் நபர் அல்ல.

குழு உறுப்பினர் தகுதி கணினியின் அடையாளத் தீர்விலிருந்து வருகிறது, நீங்கள் அறியும் பெயரிலிருந்து அல்ல. அடைவு பயனர்களுக்கு, அதே backend அந்தப் பயனரின் குழு வினவல்களுக்கு பதிலளிக்கிறது என்பதை உறுதிப்படுத்துங்கள், ஏனெனில் பரிச்சயமான பெயருள்ள உள்ளூர் குழு அதே பெயருள்ள அடைவுக் குழுவிலிருந்து வேறு பொருள்.

வரிசை மற்றும் அடையாளப் பொறிகள்

குழு விதியை அங்கீகார அடுக்குக்குப் பிறகும், இன்னும் பொருந்த வேண்டிய ஒவ்வொரு சரிபார்ப்புக்குப் பிறகும் வைக்கவும், ஆனால் நீங்கள் வைத்திருக்கும் கணக்கு சரிபார்ப்புகளுக்கு முன் அல்லது அவற்றுடன். PAM தொகுதிகளைக் கோப்பு வரிசையில் மதிப்பிடுகிறது, ஒவ்வொரு வரியின் கட்டுப்பாட்டு மதிப்பும் தோல்வி இறுதியானதா என்பதைத் தீர்மானிக்கிறது.

இரட்டை அடுக்குகளைக் கவனியுங்கள். பொதுவான முறை என்னவென்றால் ஏற்கனவே கணக்கு விதியைக் கொண்ட include, அதைத் தொடர்ந்து உங்கள் சொந்த குழு விதி, இது ஒன்றை எதிர்பார்த்த இடத்தில் இரண்டு முடிவுகளை உருவாக்குகிறது. நீங்கள் திருத்திய கோப்பை மட்டுமல்ல, சேர்க்கப்பட்ட கோப்பையும் படியுங்கள். உண்மையான வரிசையைக் காண விரைவான வழி கோப்பை மேலிருந்து கீழாகப் படித்து ஒவ்வொரு கட்டுப்பாட்டு மதிப்பையும் குறிப்பதாகும்.

மற்ற அனுமதித் தேவைகளை அப்படியே வைத்திருங்கள். வெற்றிகரமான கடவுச்சொல் சான்றிதழ் சரிபார்ப்புகள், இரண்டாம் காரணி அல்லது இணைப்புக்குப் பிந்தைய அனுமதி ஆகியவற்றுக்கு மாற்றாகாது, இந்தக் கொள்கையும் அவற்றில் எதற்கும் மாற்றாகாது. கணக்கு VPN அணுகலுக்கு பரிசீலிக்கத் தகுதியானதா என்பதை மட்டுமே இது தீர்மானிக்கிறது.

உறுப்பினர்கள், வெளியாட்கள் மற்றும் தவறான கடவுச்சொற்களைச் சோதித்தல்

கொள்கையை முடிந்ததாகக் கருதும் முன் மூன்று நிலைகளைச் சோதிக்கவும். ஒரு உறுப்பினர் வெற்றிகரமாக இணைகிறார். குழுவுக்கு வெளியே உள்ள செல்லுபடியாகும் கணக்கு அதன் கடவுச்சொல்லை அங்கீகரிக்கிறது, ஆனால் VPN அணுகல் மறுக்கப்படுகிறது. எந்தக் கணக்கிற்கும் தவறான கடவுச்சொல் அங்கீகாரக் கட்டத்தில் நிராகரிக்கப்படுகிறது, குழு விதியால் அல்ல.

வாடிக்கையாளருக்குத் தெரியும் பிழையையும் சேவையகப் பதிவையும் ஒன்றாகப் பாருங்கள், ஏனெனில் இணைக்கும் நபருக்கு இரண்டு தோல்விகளும் ஒரே மாதிரி தோன்றலாம். ஆதரவுக்கு இந்த வேறுபாடு முக்கியம்: சரியான கடவுச்சொல் உள்ள வெளியாளுக்கு குழு மாற்றம் தேவை, தவறான கடவுச்சொல்லுக்கு சான்று மீட்டமைப்பு தேவை.

PAM திருத்தும்போது இரண்டாவது அமர்வைத் திறந்து வைத்திருங்கள், மாற்றத்திற்குப் பிறகு வழக்கமான SSH உள்நுழைவையும் சரிபார்க்கவும். பிரத்யேக சேவையின் நோக்கம் கணினி உள்நுழைவு பாதிக்கப்படாமல் இருக்க வேண்டும் என்பதே, அதை அறிய ஒரே வழி அதைச் சோதிப்பது.

ஏதேனும் உடைந்தால் நகலிலிருந்து முந்தைய சேவைக் கோப்பை மீட்டெடுக்கவும். நீங்கள் விரும்பும் விதி சொல்வது எளிது: உறுப்பினர் தகுதி ஒரு கணக்கை VPN அணுகலுக்குத் தகுதியாக்குகிறது, மற்ற ஒவ்வொரு கட்டாயச் சரிபார்ப்பும் இன்னும் பொருந்தும்.