OpenVPN-இல் RADIUS இணைப்பு: செருகுநிரல் அல்லது ஸ்கிரிப்ட் கொக்கி?

செருகுநிரல் இன்னும் தற்போதைய கட்டுமானங்களை விட பழைய இழைகளில் பரிந்துரைக்கப்படுகிறது, நேற்று தொகுக்கப்பட்ட சேவையகத்தில் அது ஏற்றும்போது தோல்வியடைகிறது. இது பாதையால் சரிசெய்யக்கூடிய கட்டமைப்பு பிழை அல்ல. செருகுநிரலும் ஸ்கிரிப்ட் கொக்கியும் ஒரே சிக்கலை வெவ்வேறு அடுக்குகளில் தீர்க்கின்றன, ஒன்றிலிருந்து மற்றொன்றுக்கு மாறுவது எதை நிறுவ வேண்டும், எது சேவையக அனுமதிகளுடன் இயங்குகிறது, தோல்வியடைந்த உள்நுழைவு உண்மையில் என்ன சொல்கிறது என்பதை மாற்றுகிறது.

புராணக்கதை: செருகுநிரலே ஆதரிக்கப்படும் பாதை

செருகுநிரல் என்பது OpenVPN செயல்முறையில் ஏற்றப்படும் பகிரப்பட்ட பொருள், எனவே அது அந்த செயல்முறை வெளிப்படுத்தும் இடைமுகத்துடன் பொருந்த வேண்டும். கட்டுமானங்கள் மாறுகின்றன, தொகுப்பாக்கம் மாறுகிறது, பழைய இடைமுகத்திற்காக தொகுக்கப்பட்ட நூலகம் ஏற்ற மறுக்கிறது. சேவையக கட்டமைப்பில் எதுவும் அந்த இடைவெளியை நிரப்ப முடியாது, அதனால் "radiusplugin ஐ நிறுவுங்கள்" என்ற ஆலோசனை தொடங்காத சேவையகத்துடன் முடிகிறது.

ஸ்கிரிப்ட் கொக்கி செயல்முறைக்கு வெளியே உள்ளது. OpenVPN ஒரு நிரலை இயக்கி, அதற்கு சான்றுகளை வழங்கி, தீர்ப்பை படிக்கிறது. அந்த பிரிப்பே அதை மேம்பாடுகளைத் தாண்டி வாழ வைக்கிறது, மேலும் செருகுநிரல் ஒருபோதும் இல்லாத வகையில் அதை உங்கள் பொறுப்பாக்குகிறது.

எந்த அணுகுமுறையும் அமைப்பால் மிகவும் பாதுகாப்பானது அல்ல. ஒன்று டைமனுக்குள் வெளிநாட்டு குறியீட்டை இயக்குகிறது; மற்றொன்று சான்றுகளை கையில் வைத்து உங்கள் குறியீட்டை அதன் அருகில் இயக்குகிறது. சரியான கேள்வி, இந்த இரண்டு ஆபத்துகளில் எதை நீங்கள் உண்மையில் நிர்வகிக்க முடியும் என்பதே.

செருகுநிரல் எதை இணைத்தது

செருகுநிரலிடம் RADIUS புரவலன், பகிரப்பட்ட ரகசியம், மறுமுயற்சி எண்ணிக்கை மற்றும் கால வரம்பு கொண்ட அதன் சொந்த கட்டமைப்பு கோப்பு இருந்தது, சேவையக கட்டமைப்பு அதை ஒரு வரியில் குறிப்பிட்டது. சான்று கையாளுதல் சேவையக செயல்முறைக்குள் இருந்தது, அதாவது நிர்வாகி பாதுகாக்க வேண்டிய செயல்முறை எல்லையை கடவுச்சொல் ஒருபோதும் கடக்கவில்லை.

விலை இணைப்பு. ஒவ்வொரு OpenVPN மேம்பாடும் பொருந்தாத இடைமுகத்தை ஆபத்தில் ஆழ்த்தியது, தொகுப்பை மீண்டும் கட்டும் ஒவ்வொரு விநியோகமும் இனி பொருந்தாத நூலகத்தை உருவாக்கும் ஆபத்தைக் கொண்டிருந்தது. அது நிகழும்போது, தோல்வி சத்தமாகவும் உடனடியாகவும் இருக்கும், அதுவே வடிவமைப்பின் ஒரே கருணை.

அத்தகைய செருகுநிரல் இன்னும் உங்கள் கட்டுமானத்தில் ஏற்றப்பட்டால், அது சிறிய செயல்பாட்டு மேற்பரப்பாக இருக்கலாம். அது எந்த இடைமுகத்திற்காக கட்டப்பட்டது என்பதை உறுதிசெய்து, நீங்கள் சோதித்த கட்டுமானத்தில் அதை பின் செய்து, எந்த மேம்பாட்டையும் வழக்கமான தொகுப்பு புதுப்பிப்பாக அல்ல, முழு உள்நுழைவு சோதனை தேவைப்படும் மாற்றமாகக் கருதுங்கள்.

ஸ்கிரிப்ட் கொக்கி உண்மையில் எதை நம்புகிறது

கொக்கி auth-user-pass-verify மற்றும் ஒரு வழங்கல் பொறிமுறையுடன் கட்டமைக்கப்படுகிறது: சூழல் மாறிகள் அல்லது தற்காலிக கோப்பு. சூழல் வடிவத்தில் OpenVPN க்கு script-security 3 தேவை, அது ஸ்கிரிப்ட்களுக்கு கடவுச்சொல்லை வெளிப்படுத்த அனுமதிக்கும் ஆவணப்படுத்தப்பட்ட நிலை. அந்த நிலை இயல்புநிலையின் வேண்டுமென்றே பலவீனமாக்கல், மேலும் அதற்கு காரணம் இணைக்கப்பட்ட அனுமதியாக நடத்த வேண்டும்.

ஸ்கிரிப்ட் தொடும் அனைத்தும் அந்த நம்பிக்கையை மரபுரிமையாகப் பெறுகிறது. அது root உரிமையுடன் இருக்க வேண்டும், குழு அல்லது பிறரால் எழுத முடியாததாக இருக்க வேண்டும், முழு பாதையால் குறிப்பிடப்பட வேண்டும், நம்பமுடியாத மதிப்பு shell ஐ அடையும் இடம் எதுவும் இல்லாமல் இருக்க வேண்டும். ஒவ்வொரு மாறியையும் மேற்கோள்களில் வைக்கவும், எதிர்பாராத எழுத்துகளை நிராகரிக்கவும், வழங்கப்பட்ட பயனர்பெயரிலிருந்து ஒருபோதும் கட்டளையை உருவாக்க வேண்டாம். ஒவ்வொரு உள்நுழைவு முயற்சியிலும் root ஆக இயங்கும் ஸ்கிரிப்ட் அந்த நான்கு பண்புகளுக்காகவே ஒரு மறுஆய்வுக்கு தகுதியானது.

ls -l /usr/local/sbin/radius-auth.sh
stat -c '%U %a' /usr/local/sbin/radius-auth.sh

கோப்பு வழங்கல் வடிவம் சூழல் மரபுரிமை சிக்கலைத் தவிர்த்து, குறைந்த அனுமதிகள் கொண்ட தற்காலிக கோப்பு வழியாக ஸ்கிரிப்டுக்கு சான்றுகளை அளிக்கிறது. உங்கள் கிளையண்ட் அதை ஆதரித்தால், அது பொதுவாக சிறந்த இயல்புநிலை, தோல்வியில் சுத்தம் செய்ய இன்னொரு பொருளை சேர்க்கிறது.

வெளியேறும் குறியீடுகள் நீங்கள் திறந்த நிலையில் தோல்வியடைவீர்களா என்பதை தீர்மானிக்கின்றன

ஸ்கிரிப்டின் வெளியேறும் நிலையே தீர்ப்பு: பூஜ்ஜியம் ஏற்கிறது, பூஜ்ஜியமற்றது நிராகரிக்கிறது. சிக்கலை உருவாக்கும் முறை, RADIUS பதிலில் ஒரு குறிப்பிட்ட ஏற்பு டோக்கன் இருக்கும்போது மட்டும் ஏற்று, மற்ற அனைத்திற்கும் தோல்வியைத் திருப்பும் shell ஸ்கிரிப்ட், ஏனெனில் அது மூன்று வெவ்வேறு நிகழ்வுகளை ஒரு பதிலில் கரைக்கிறது. தவறான கடவுச்சொல், அடைய முடியாத சேவையகம் மற்றும் சிதைந்த பதில் அனைத்தும் ஒரே நிராகரிப்பாக மாறுகின்றன.

கொக்கி ஏற்பு அல்லது நிராகரிப்பை மட்டுமே திருப்ப முடிந்தாலும் அந்த நிகழ்வுகளை ஸ்கிரிப்டில் பிரிக்கவும். பின்தள முடிவை தனியாக பதிவு செய்யவும், கால வரம்புகள் மற்றும் போக்குவரத்து பிழைகளில் எச்சரிக்கை செய்யவும், சேவை நிறுத்தப்பட்டதால் அல்லது பயனர்கள் தவறாக தட்டச்சு செய்வதால் அங்கீகாரம் தோல்வியடைகிறதா என்பதை கண்காணிப்பில் தெளிவாக்கவும்.

இரண்டு பழக்கங்கள் மற்றதை நல்ல நிலையில் வைக்கின்றன. RADIUS அதிகாரமாக இருந்தால், கடவுச்சொல் சரிபார்க்கப்படும் ஒரே இடம் அதுவாக இருக்க வேண்டும், ஏனெனில் நிழல் அட்டவணை ஒரே கேள்விக்கு இரண்டு பதில்களை உருவாக்குகிறது, இரண்டாவது யாரும் கவனிக்காத தாக்குதல் மேற்பரப்பு. மேலும் கொக்கி ஒவ்வொரு மறுமுயற்சியிலும் மீண்டும் அழைக்கப்படுகிறது என்பதை நினைவில் கொள்ளுங்கள், எனவே மெதுவான ஸ்கிரிப்டும் பொறுமையற்ற கிளையண்டும் சேர்ந்து, RADIUS பக்கத்தில் தாமதம் அல்லது கொள்கையை சேர்க்காவிட்டால் கடவுச்சொல் ஊகத்திற்கான பெருக்கியாக மாறும்.

சான்றிதழ் போகும்போது நீங்கள் எதை விட்டுவிடுகிறீர்கள்

இந்த வடிவத்தின் பல பயன்பாடுகள் கிளையண்ட் சான்றிதழ் சரிபார்ப்பை முழுமையாக அணைத்து, பயனர்பெயரும் கடவுச்சொல்லும் கிளையண்டின் முழு கோரிக்கையாக இருக்க அனுமதிக்கின்றன. அந்த அமைப்புடன் மறைவதே சான்றிதழ் அடிப்படையிலான அடையாளம். சேனல் மறையீடு செய்யப்பட்டே இருக்கும், ஆனால் கிளையண்டை பெயரிடும் ஒரே விஷயம் RADIUS இன் தீர்ப்பு. முன்பு சான்றிதழ் பொருளை நம்பிய எதுவும் இப்போது பயனர்பெயரை நம்ப வேண்டும்.

அங்கீகரிக்கப்படாத சகாவரம்பு கைக்குலுக்கலை ஆராயவோ வெள்ளமாக்கவோ முடியாதபடி கட்டுப்பாட்டு சேனல் பாதுகாப்பை வைத்திருங்கள், பயனர் வாரியான கட்டமைப்பு பொதுவான பெயரைச் சார்ந்திருக்கும்போது username-as-common-name ஐப் பயன்படுத்துங்கள். நிர்வகிக்கப்படும் நுழைவாயில்கள் இதை பெரும்பாலும் வேறு விதமாகத் தீர்க்கின்றன, RADIUS உடன் EAP-TLS பேசும் நுழைவாயிலில் சான்றிதழ் அங்கீகாரத்தை முடிக்கின்றன, அந்த நிலையில் இந்த சேவையக வழிமுறைகள் எதுவும் பொருந்தாது. அண்டை தயாரிப்பின் மாதிரியை அல்ல, உங்கள் சொந்த தளம் ஆவணப்படுத்தும் மாதிரியை நகலெடுக்கவும். முக்கியமான வழிமுறைகள் போதுமான அளவு வேறுபடுகின்றன, அவற்றை கலப்பது பகுப்பாய்வு செய்யப்பட்டு பின்னர் யாரையும் அங்கீகரிக்காத கட்டமைப்பை உருவாக்குகிறது.