ఖాతా లాక్ మరియు చిరునామా నిషేధం: OpenVPN నిజంగా ఎక్కడ లెక్కిస్తుంది

చిరునామాను నిరోధించడం మరియు ఖాతాను లాక్ చేయడం రెండు వేర్వేరు విధానాలు, అవి వ్యతిరేక దిశల్లో విఫలమవుతాయి. చిరునామా నిషేధం ఒక మూలాన్ని ఆపుతుంది, లక్ష్య ఖాతా మరెక్కడి నుండైనా చేరుకోగలిగి ఉంటుంది; ఖాతా లాక్ ఆ గుర్తింపును ప్రతిచోటా ఆపుతుంది, వాడుకరి స్వంత ల్యాప్టాప్లో కూడా.

ప్రామాణీకరణను PAM కు అప్పగించే VPN కు, లెక్క అనేది PAM స్టాక్ చేరుకునే చోటు, శ్రోత రికార్డ్ చేసింది కాదు.

రెండు లెక్కలు, రెండు వేర్వేరు బాధితులు

వేగ పరిమితి ఒక మూలాన్ని చూసి ఇటీవల దాని నుండి ఎన్ని ప్రయత్నాలు వచ్చాయని అడుగుతుంది. లాక్ ఒక గుర్తింపును చూసి ఆ ఖాతా ఎన్ని వైఫల్యాలు పోగుచేసుకుందని అడుగుతుంది. మొదటిది లభ్యతను కాపాడుతుంది, రెండవది ఆధారాలను; ఒకటి మరొకటి స్థానంలో నిలవదు.

అందుకే ఐదు వైఫల్యాల తర్వాత IP ను నిరోధిస్తాము అనే వాక్యం ఆధారాల నింపుడు నివేదికకు సమాధానం కాదు. దాడికారుడు మూలాలను మారుస్తాడు, ప్రతిదానికి కొన్ని ప్రయత్నాలు మాత్రమే లభిస్తాయి, ఖాతా ఎప్పుడూ లెక్కించబడదు. దీనికి విరుద్ధంగా, మూల నియంత్రణ లేని లాక్ దాడికారుడిని ఉద్దేశపూర్వకంగా విఫలమై ఖాతాను అపరిమితంగా లాక్ చేసి ఉంచడానికి అనుమతిస్తుంది.

రెండు నియంత్రణలకు వేర్వేరు పునరుద్ధరణ కథలు ఉన్నాయి. చిరునామా నిషేధం ఎవరూ ఆలోచించాల్సిన అవసరం లేని టైమర్తో ముగుస్తుంది; ఖాతా లాక్కు నిర్వాహకుడు, లిఖిత నిరీక్షణ కాలం లేదా స్వయం సేవా రీసెట్ అవసరం కావచ్చు.

ఇప్పటికే లెక్క ఉన్న నిల్వను కనుగొనండి

ఏదైనా జోడించే ముందు వైఫల్య నిల్వ ఇప్పటికే ఉందో లేదో తెలుసుకోండి. స్థానిక Linux ఖాతా, డైరెక్టరీ సేవ మరియు బాహ్య గుర్తింపు ప్రదాత ఒక్కొక్కరు తమ లెక్కను ఉంచుకుంటారు, వాటి ముందు ఉంచిన PAM మాడ్యూల్ మొదటిదాన్ని విస్తరించడానికి బదులు రెండవదాన్ని సృష్టిస్తుంది.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

VPN నిజంగా పేర్కొనే సేవా ఫైల్ను చదివి దాని చేరిక లైన్లను అనుసరించండి. అనేక పంపిణీలలో VPN సేవ సాధారణ ఫైల్ను చేరుస్తుంది, అంటే మీరు సర్దుబాటు చేసే లెక్క SSH మరియు స్థానిక లాగిన్లకూ వర్తిస్తుంది.

డైరెక్టరీ ఇప్పటికే లాక్ విధిస్తే, ఉపయోగకరమైన ప్రశ్న PAM సంభాషణ ఆ నిర్ణయానికి ఎలా చేరుతుంది మరియు VPN దానిని ఎలా నివేదిస్తుంది అనేది. పైన జోడించిన స్థానిక లెక్క డైరెక్టరీ కౌంటర్ కాదు, రెండు విధానాలు ఖాతా ఎప్పుడు తెరుచుకుంటుందనే దానిపై ఏకీభవించకపోవచ్చు.

pam_faillock కు ఒకటి కాదు, మూడు పిలుపు స్థానాలు ఉన్నాయి

మాడ్యూల్ ఒక కాపీ చేసిన లైన్ మసకబార్చే మూడు కార్యకలాపాలను వేరు చేస్తుంది: ఖాతా ఇప్పటికే లాక్ అయిందా అని తనిఖీ, వైఫల్యాన్ని నమోదు చేయడం మరియు విజయం తర్వాత చరిత్రను తొలగించడం.

పాత లెక్క మాడ్యూల్ నుండి బదిలీ సాధారణంగా ఇక్కడే తప్పు జరుగుతుంది. పని చేసే pam_tally2 ఉదాహరణ నుండి లైన్ను pam_faillock స్టాక్లోకి కాపీ చేయడం పేరు మార్పు కాదు; లిఖిత సెటప్ భిన్నంగా ఉంటుంది, తప్పు స్థానంలో పెట్టిన పిలుపు వైఫల్యాలను ఎప్పుడూ తనిఖీ చేయకుండా నమోదు చేయవచ్చు.

faillock --user alice
faillock --user alice --reset

తనిఖీ సాధనం లెక్క నిజమా అని చూడటానికి వేగవంతమైన మార్గం: ఇది ఖాతా నమోదైన వైఫల్యాలను చూపుతుంది మరియు వాటిని తొలగించగలదు. నియంత్రిత వైఫల్యం ఆ అవుట్పుట్ను మార్చకపోతే, పిలుపు స్థానం తప్పు.

ప్రత్యేక సేవా పేరు వేరుచేయడం కాదు

VPN కు దాని స్వంత PAM సేవా ఫైల్ ఇవ్వడం ఉద్దేశిత విధానాన్ని కనిపించేలా చేస్తుంది, కానీ ప్రభావాన్ని పరిమితం చేయదు. సాధారణ ఫైల్ యొక్క ఏదైనా చేరిక ఆ ఫైల్ చేసేదాన్ని తెస్తుంది, మొత్తం వ్యవస్థకు సంబంధించిన లెక్కలతో సహా.

లాక్ కేవలం VPN యాక్సెస్ను మాత్రమే కవర్ చేస్తుందా లేదా అదే ఖాతాను ప్రామాణీకరించే ప్రతి సేవను కవర్ చేస్తుందా అని స్పష్టంగా నిర్ణయించండి. రెండు సమాధానాలు సమర్థనీయం; వైఫల్యం ఏమిటంటే ఒకటి ఎంచుకున్నానని నమ్ముతూ స్టాక్ మరొకటి అమలు చేయడం.

తర్వాత ఖర్చును పరిగణించండి. దాడికారుడు లాక్ను కలిగించవచ్చు, బాధపడే వాడుకరి ఆ ఖాతా యజమాని. పరిమితి, నిరీక్షణ కాలం మరియు పరిపాలనా పునరుద్ధరణ మార్గం విధానంలో భాగం, సంఘటన సమయంలో VPN పునఃకాన్ఫిగర్పై పునరుద్ధరణ ఆధారపడకూడదు.

ఒక నిరాకరణ కాదు, క్రమాన్ని అంగీకరించండి

ఆమోదించిన ప్రణాళిక కింద నిర్దేశిత గుర్తింపులతో పరీక్షించండి, ఒక సంఘటనకు బదులు గొలుసును పరీక్షించండి: చెల్లుబాటు ఖాతా ప్రామాణీకరిస్తుంది, ఉద్దేశపూర్వకంగా తప్పు పాస్వర్డ్ లెక్కను కదిలిస్తుంది, కాన్ఫిగర్ చేసిన లాక్ అమల్లోకి వస్తుంది, లిఖిత పునరుద్ధరణ యాక్సెస్ను తిరిగి ఇస్తుంది.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

విజయం ప్రవర్తనను వైఫల్యం అంత జాగ్రత్తగా చూడండి. విజయవంత లాగిన్ చరిత్రను తొలగించకపోతే, సాధారణ తప్పుల నెమ్మదిగా చేరిక తర్వాత ఖాతా లాక్ అవుతుంది. ప్రతి సేవ నుండి అన్నీ తొలగిస్తే, లెక్క విధానం చెప్పే దాని కంటే బలహీనం.

చివరగా, విజయాన్ని ప్రకటించే ముందు పర్యవేక్షణ లేని క్లయింట్లను ఆపండి. నిల్వ చేసిన ఆధారాలు నేపథ్యంలో మళ్లీ ప్రయత్నించి పునరుద్ధరణ తర్వాత కొన్ని నిమిషాల్లో వైఫల్యాలను మళ్లీ సృష్టించి ఖాతాను మళ్లీ లాక్ చేస్తాయి. మూల ఆధారిత వేగ పరిమితి అదనపు నియంత్రణగా ఉండవచ్చు, కానీ అది ఖాతా విధానం కాదు.