OpenVPN లో LDAP ధృవీకరణ పనిచేస్తుంది కానీ గ్రూప్ తనిఖీ విఫలమవుతుంది: ఎక్కడ చూడాలి

ధృవీకరణ గడించగలదు కానీ గ్రూప్ తనిఖీ అందరినీ తిరస్కరిస్తుంది. Authorization బ్లాక్, సభ్యత్వ లక్షణం మరియు డైరెక్టరీ ముగింపు బిందువును ఒక్కొక్కటిగా చూడండి.

ప్రామాణికాలు గడుస్తాయి, టన్నెల్ పైకి రావడం ప్రారంభమవుతుంది, ఆపై సెషన్ పాస్వర్డ్ గురించి కాకుండా గ్రూప్ గురించిన సందేశంతో విఫలమవుతుంది. ఆ కలయిక వైఫల్యాన్ని LDAP ప్లగిన్ పని రెండవ సగంలో ఉంచుతుంది: బైండ్ మరియు పాస్వర్డ్ తనిఖీ విజయవంతమయ్యాయి, తర్వాత వచ్చే సభ్యత్వ నిర్ణయం కాలేదు. రెండు సగాలు ఒకే కాన్ఫిగరేషన్ బ్లాక్ నుండి చదువుతాయి, అందుకే ఒక చోట సవరణ మరొకదాన్ని తాకకుండా వదిలేయగలదు. దశను పేర్కొనే లాగ్ లైన్ నుండి ప్రారంభించండి, మీరు యాదృచ్ఛికంగా పరీక్షిస్తున్న ఖాతా నుండి కాదు.

తిరస్కరణను అనుమతి యొక్క సమాధానంగా పరిగణించండి

ప్లగిన్ సేవా బైండ్ చేస్తుంది, ఖాతాను వెతుకుతుంది, ఇచ్చిన పాస్వర్డ్ను ధృవీకరిస్తుంది, ఆపై ఆ ఖాతా అనుమతించిన గ్రూపుకు చెందుతుందా అని అడుగుతుంది. ఇవి నాలుగు వేర్వేరు కార్యకలాపాలు, చివరిది మాత్రమే గ్రూపుల గురించి. అందుకే విజయవంతమైన బైండ్ తర్వాత వచ్చే తిరస్కరణ పాస్వర్డ్ గురించి ఏమీ చెప్పదు, క్లయింట్ సాధారణ ధృవీకరణ లోపాన్ని చూపినప్పుడు కూడా. కాన్ఫిగరేషన్ మార్చే ముందు ప్లగిన్ లాగ్ స్థాయిని పెంచడమే ఆ నాలుగింటిని అవుట్పుట్లో వేరు చేస్తుంది.

గ్రూప్ మూల్యాంకనాన్ని స్వయంగా వెతకండి. గ్రూప్ ప్రశ్న ఏ మాత్రం కనిపించకపోతే, అనుమతి బ్లాక్ చేరుకోబడదు, దీని అర్థం సాధారణంగా ఒక సూచన దానిని కలిగి ఉన్న బ్లాక్ వెలుపల ఉంది లేదా తప్పనిసరి ఎంపిక లేదు. ప్రశ్న కనిపించి ఏమీ తిరిగి ఇవ్వకపోతే, ముగింపు బిందువు లేదా ఫిల్టర్ మీరు ఉద్దేశించిన దానికంటే వేరే ప్రశ్నకు సమాధానం ఇస్తోంది.

సభ్యత్వం ఫిల్టర్లో ఉందా గ్రూప్ బ్లాక్లో ఉందా అని నిర్ణయించండి

రెండు మద్దతు ఉన్న రూపాలు ఉన్నాయి, వాటిని కలపడమే పనిచేస్తున్న కాన్ఫిగరేషన్ పనిచేయడం ఆపే మార్గం. మొదటిది వినియోగదారు వస్తువుపై లక్షణాన్ని అడిగి సభ్యత్వాన్ని వినియోగదారు శోధనలోకి నెట్టుతుంది; రెండవది వినియోగదారు శోధనను అలాగే వదిలి తర్వాత ప్లగిన్ను గ్రూప్ వస్తువును వెతకనిస్తుంది. ప్రతి అమలుకు ఒకటి ఎంచుకోండి మరియు ఏది ఎంచుకున్నారో రాయండి.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(&(sAMAccountName=%u)(memberOf=CN=VPN Access,OU=Groups,DC=example,DC=org))"
    RequireGroup false
</Authorization>

ఆ రూపంలో ఫిల్టర్ అన్నింటినీ నిర్ణయిస్తుంది, కాబట్టి RequireGroup false ఉండాలి, లేకపోతే ఫిల్టర్ ఎప్పుడూ ప్రస్తావించని గ్రూప్ వస్తువు కోసం ప్లగిన్ వెళ్తుంది. ఫిల్టర్లోని లక్షణం వినియోగదారు వస్తువుపై ఉండాలి మరియు నింపబడి ఉండాలి, గ్రూపులు నెస్ట్ అయినప్పుడు ఇది హామీ లేదు.

మరో రూపం శోధనను సరళంగా ఉంచి దాని తర్వాత గ్రూప్ శోధనను జోడిస్తుంది. గ్రూప్ వస్తువు స్పష్టంగా పేరు పెట్టబడుతుంది, మరియు ప్లగిన్ వినియోగదారుని డైరెక్టరీ దాని కోసం తిరిగి ఇచ్చే సభ్యులతో పోలుస్తుంది. వినియోగదారు ఫిల్టర్లో ఏమీ మారదు, ఇది గ్రూపును మరో జట్టు నిర్వహించినప్పుడు ఈ రూపాన్ని తనిఖీ చేయడం సులభం చేస్తుంది.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(sAMAccountName=%u)"
    RequireGroup true
    Group        "CN=VPN Access,OU=Groups,DC=example,DC=org"
</Authorization>

గుడ్డి స్థలం సాధారణం: సాధారణ సభ్యత్వ పోలిక నెస్ట్ అయిన గ్రూపులను విస్తరించదు, కాబట్టి తల్లిదండ్రుల గ్రూపు ద్వారా ప్రవేశం వచ్చే ఖాతా విఫలమవుతుంది, కన్సోల్ ఇంకా సభ్యత్వాన్ని చూపిస్తుంది. Active Directory గ్రూపుపై member ను బహిర్గతం చేస్తుంది, ఇతర స్కీమాలు uniqueMember ఉపయోగిస్తాయి, మరియు తప్పు లక్షణాన్ని చూపిస్తే లోపం బదులు ఖాళీ ఫలితం వస్తుంది.

గ్రూప్ వస్తువును కలిగి ఉన్న ముగింపు బిందువును ఎంచుకోండి

URL ప్లగిన్ ఏ డైరెక్టరీని అడుగుతుందో నిర్ణయిస్తుంది, మరియు 389 పోర్ట్లోని డొమైన్ నియంత్రిక తన సొంత నామకరణ సందర్భానికి మాత్రమే సమాధానం ఇస్తుంది. 3268 పోర్ట్లోని ప్రపంచ కేటలాగ్ మొత్తం అడవికి సమాధానం ఇస్తుంది, చదవడానికి మాత్రమే మరియు పాక్షిక లక్షణ సమితితో. ఖాతాలు ఒక డొమైన్లో మరియు VPN గ్రూపు మరొకదానిలో ఉన్నప్పుడు, ఒకే-డొమైన్ ప్రశ్న వినియోగదారుని కనుగొని కూడా సభ్యత్వాన్ని కోల్పోవచ్చు. URL ను కేటలాగ్ పోర్ట్కు తరలించడం తిరస్కరణను పరిష్కరించే సందర్భం ఇదే, మరియు ప్రజలు అతిగా సాధారణీకరించే సందర్భం కూడా ఇదే.

పాక్షిక లక్షణ సమితి పరిమితి: కేటలాగ్ కలిగి లేని లక్షణంపై ఫిల్టర్ చేయలేము, కాబట్టి అదే మార్పు ఒక అమలును పని చేయించి మరొకటి ఏమీ తిరిగి ఇవ్వకుండా చేయగలదు. బ్లాక్ను తిరిగి రాయడానికి ముందు నిజమైన వినియోగదారు మరియు గ్రూపు కోసం ముగింపు బిందువు నిజంగా ఏమి తిరిగి ఇస్తుందో నిర్ధారించండి. రెఫరల్లు మరియు TLS మళ్లీ వేర్వేరు విషయాలు, ఎందుకంటే రెఫరల్ను అనుసరించాలి మరియు TLS అవసరమయ్యే ముగింపు బిందువుకు సరిపోయే విశ్వాస ఫైళ్లు అవసరం.

ఖాతా స్థితి మరియు శోధన పరిధిని వాటి స్వంత ఫీల్డ్లలో ఉంచండి

నిష్క్రియ జెండా ఫిల్టర్కు చెందుతుంది, గ్రూప్ తనిఖీకి కాదు. Active Directory లో ఇది userAccountControl యొక్క రెండవ బిట్, ఆ షరతు లేకుండా చెల్లుబాటు అయ్యే పాస్వర్డ్ ఉన్న నిష్క్రియ ఖాతా ధృవీకరణ చేసి తర్వాత గ్రూప్ దశలో విఫలమవుతుంది, ఇది అనుమతి బగ్గా కనిపిస్తుంది. శోధన పరిధి ప్రాథమిక DN కు చెందుతుంది, ఎందుకంటే డొమైన్ మూలం నుండి ప్రారంభించడం నెమ్మదిగా ఉంటుంది మరియు మీరు కవర్ చేయాలనుకున్న సంస్థాగత విభాగం వెలుపలి వస్తువులతో సరిపోలవచ్చు.

బైండ్ ఖాతా హక్కులను కూడా ఇరుకుగా ఉంచండి. విస్తృత డైరెక్టరీ హక్కులు తప్పుగా కాన్ఫిగర్ చేసిన ఫిల్టర్ను విజయవంతమైన ప్రశ్నగా మార్చి, ఎవరైనా ఖాతాను ఆడిట్ చేసే వరకు లోపాన్ని దాచుతాయి. సభ్యత్వాన్ని డైరెక్టరీలోనే మార్చండి, ఎప్పుడూ స్థానిక మినహాయింపు జాబితాలో కాదు, తద్వారా ప్రవేశాన్ని తొలగించడానికి ఖాతాను నిష్క్రియం చేయడం సరిపోతుంది. గ్రూపును మరో జట్టు నిర్వహిస్తే, దానిపై ఫిల్టర్ రాయడానికి ముందు వారు నింపే లక్షణంపై అంగీకరించండి.

మూడు ఖాతాలతో ఫలితాన్ని నిరూపించండి

కాన్ఫిగరేషన్ను మూడు గుర్తింపులపై అమలు చేయండి: అనుమతించిన సభ్యుడు, గ్రూపు వెలుపల చెల్లుబాటు అయ్యే ఖాతా, మరియు నిష్క్రియం చేయబడిన ఖాతా. మూడూ తిరస్కరించబడితే బైండ్ లేదా గ్రూప్ ప్రశ్న పాడైంది; మూడూ ఆమోదించబడితే ఏ గ్రూపు షరతు అయినా అమలవుతోంది లేదు. మిశ్రమ ఫలితం మాత్రమే మీకు ముఖ్యమైన సందర్భాలను కాన్ఫిగరేషన్ వేరు చేస్తుందని నిరూపిస్తుంది.

ప్లగిన్ను నిందించే ముందు అదే మూడు సమాధానాలను నేరుగా డైరెక్టరీ నుండి చదవండి. మొదటి ప్రశ్న ఫిల్టర్ ఆధారపడే గ్రూప్ లక్షణాన్ని చూపిస్తుంది, రెండవది ఖాతా నియంత్రణ విలువను చూపిస్తుంది. మీ స్వంత ప్రాథమిక DN, ఖాతా మరియు ముగింపు బిందువును ఉంచండి:

ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=alice)" memberOf
ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=bob)" userAccountControl

memberOf ఖాళీగా తిరిగి వచ్చే వినియోగదారు డైరెక్టరీ వాస్తవం, ప్లగిన్ లోపం కాదు, మరియు నిష్క్రియం చేసిన తర్వాత కూడా ధృవీకరణ జరిగే ఖాతా అంటే ఫిల్టర్లో ఖాతా నియంత్రణ షరతు లేదు. మొదట ఆ ఆధారాన్ని సరిచేయండి, ఆపై మూడు-ఖాతా పరీక్షను మళ్లీ అమలు చేయండి. విఫలమైన దశను పేర్కొన్న లాగ్ లైన్ను కాన్ఫిగరేషన్ మార్పు పక్కన ఉంచండి, తద్వారా తదుపరి వ్యక్తి శోధనను పునరావృతం చేయకుండా అనుమతిని ధృవీకరణ నుండి వేరు చేయగలడు.

సంబంధిత వ్యాసాలు