PAM విధానంతో OpenVPN లాగిన్లను ఒక గ్రూపుకు పరిమితం చేయండి

ప్రతి ఖాతా సాధారణంగా లాగిన్ అయ్యేలా ఉంచండి, కానీ ఒక గ్రూపు మాత్రమే VPN ఉపయోగించనివ్వండి. PAM రెండవ పాస్వర్డ్ నిల్వ లేకుండా ఆ భేదాన్ని వ్యక్తపరచగలదు, OpenVPN ప్లగిన్ను మీరు ఉద్దేశించిన తనిఖీలు మాత్రమే ఉన్న సేవకు మళ్లించవచ్చు. ఉపాయం ఏమిటంటే, సిస్టమ్-వ్యాప్త స్టాక్ను ప్రమాదవశాత్తు వారసత్వంగా పొందకుండా ఆ సేవను నిర్మించడం.

ఇక్కడి ప్రయాణం ప్లగిన్ సేవా పేరుతో ప్రారంభమవుతుంది, విధానాన్ని నిర్మిస్తుంది, ఆపై మూడు ముఖ్యమైన ఫలితాలను పరీక్షిస్తుంది: సభ్యుడు, చెల్లుబాటు అయ్యే పాస్వర్డ్ ఉన్న బయటి వ్యక్తి మరియు చెడు ఆధారాలు.

ప్రత్యేక PAM సేవ ఎందుకు

auth-pam ప్లగిన్ తన ఆర్గ్యుమెంట్గా సేవా పేరును తీసుకుంటుంది. ఆ పేరు /etc/pam.d కింద ఫైల్ను ఎంచుకుంటుంది, ఆ ఫైల్లోని స్టాకే VPN లాగిన్ సమయంలో నడుస్తుంది. సిస్టమ్-వ్యాప్త లాగిన్ ఉపయోగించే అదే పేరును ఇచ్చినట్లయితే, ఆ స్టాక్లోని ప్రతి నిర్ణయాన్ని, తర్వాత అసంబద్ధ కారణాలతో జోడించినవి కూడా, మీరు వారసత్వంగా పొందుతారు.

బదులుగా అంకిత సేవను సృష్టించండి. ఇప్పటికే ఉద్దేశిత backendకు వ్యతిరేకంగా ప్రామాణీకరణ చేసే పని చేసే స్టాక్ నుండి ప్రారంభించండి, ఉదాహరణకు స్థానిక పాస్వర్డ్ ఫైల్, SSSD లేదా డైరెక్టరీ సేవ, తర్వాత అర్హత నియమాన్ని జోడించండి. ఖాళీ ఫైల్లో రెండు పంక్తులు కాపీ చేయడం సాధారణ పొరపాటు: పాస్వర్డ్ గడువు ముగియడం, ఖాతా లాక్ మరియు ఇతర తనిఖీలు మీరు కాపీ చేయని స్టాక్లో ఉండవచ్చు.

సేవను వేరు చేయడం నష్టం పరిధిని కూడా పరిమితం చేస్తుంది. పంచుకున్న స్టాక్లో VPN-మాత్రమే నియమం అందరికీ SSH లేదా కన్సోల్ ప్రవేశాన్ని నిరాకరించగలదు, ఇది ప్రవేశ మార్పును అంతరాయంగా మారుస్తుంది.

గ్రూపు నియమాన్ని రాయడం

అర్హత తనిఖీ ఆధారాలు ధృవీకరించబడిన తర్వాత ఖాతా దశకు చెందుతుంది. account required pam_succeed_if.so user ingroup vpnusers వంటి నియమం ప్రామాణీకరించిన వినియోగదారు ఆ గ్రూపు సభ్యుడైనప్పుడు మాత్రమే ప్రాసెసింగ్ కొనసాగడానికి అనుమతిస్తుంది.

ఆ పంక్తి ఒక శకలం, పూర్తి సేవ కాదు. ప్రతి ఆమోదించబడిన మార్గం చేరుకునే చోట దాన్ని సమీకృతం చేయండి, దాని చుట్టూ ఉన్న నియంత్రణ జెండాలను తనిఖీ చేయండి. స్టాక్లో ముందున్న sufficient లేదా జంప్ నియంత్రణ మీ నియమం నడవకముందే ప్రాసెసింగ్ను ముగించవచ్చు, ఇది పరిమితిని సూచనగా మారుస్తుంది.

అలవాటుగా use_uid జోడించవద్దు. అది లేకుండా మాడ్యూల్ ప్రామాణీకరించబడుతున్న వినియోగదారుని అంచనా వేస్తుంది; దానితో మాడ్యూల్ OpenVPN ప్రక్రియ నడిచే ఖాతాను అంచనా వేస్తుంది, అది సాధారణంగా root లేదా సేవా ఖాతా మరియు అందువల్ల లాగిన్ అయ్యే వ్యక్తి కాదు.

గ్రూపు సభ్యత్వం సిస్టమ్ గుర్తింపు పరిష్కారం నుండి వస్తుంది, మీకు తెలిసిన పేరు నుండి కాదు. డైరెక్టరీ వినియోగదారుల కోసం, అదే backend ఆ వినియోగదారు గ్రూపు ప్రశ్నలకు సమాధానం ఇస్తుందని నిర్ధారించండి, ఎందుకంటే పరిచిత పేరుతో ఉన్న స్థానిక గ్రూపు అదే పేరుతో ఉన్న డైరెక్టరీ గ్రూపు కంటే వేరు వస్తువు.

క్రమం మరియు గుర్తింపు ఉచ్చులు

గ్రూపు నియమాన్ని ప్రామాణీకరణ స్టాక్ తర్వాత మరియు ఇంకా వర్తించాల్సిన ప్రతి తనిఖీ తర్వాత ఉంచండి, కానీ మీరు ఉంచుకునే ఖాతా తనిఖీల ముందు లేదా వాటి పక్కన. PAM మాడ్యూల్లను ఫైల్ క్రమంలో అంచనా వేస్తుంది, ప్రతి పంక్తిలోని నియంత్రణ విలువ వైఫల్యం తుది దైనదా అని నిర్ణయిస్తుంది.

రెట్టింపు స్టాక్ల పట్ల జాగ్రత్తగా ఉండండి. సాధారణ నమూనా ఏమిటంటే ఇప్పటికే ఖాతా నియమం ఉన్న include, తర్వాత మీ స్వంత గ్రూపు నియమం, ఇది ఒకటి ఆశించిన చోట రెండు నిర్ణయాలు సృష్టిస్తుంది. మీరు సవరించిన ఫైలు మాత్రమే కాదు, చేర్చబడిన ఫైలును కూడా చదవండి. ప్రభావవంతమైన క్రమాన్ని చూడటానికి వేగమైన మార్గం ఫైల్ను పై నుంచి కిందకు చదివి ప్రతి నియంత్రణ విలువను గుర్తుపెట్టుకోవడం.

ఇతర ప్రవేశ అవసరాలను చెక్కుచెదరకుండా ఉంచండి. విజయవంతమైన పాస్వర్డ్ ధృవపత్ర తనిఖీలు, రెండవ కారకం లేదా కనెక్షన్ తర్వాత అధికారాన్ని భర్తీ చేయదు, ఈ విధానం వాటిలో దేనికీ ప్రత్యామ్నాయం కాదు. ఖాతా VPN ప్రవేశానికి పరిగణించదగినదా అని మాత్రమే ఇది నిర్ణయిస్తుంది.

సభ్యులు, బయటి వ్యక్తులు మరియు తప్పు పాస్వర్డ్లను పరీక్షించడం

విధానాన్ని పూర్తయినట్లు భావించే ముందు మూడు సందర్భాలను పరీక్షించండి. సభ్యుడు విజయవంతంగా కనెక్ట్ అవుతాడు. గ్రూపు వెలుపల ఉన్న చెల్లుబాటు ఖాతా తన పాస్వర్డ్ను ప్రామాణీకరిస్తుంది కానీ VPN ప్రవేశం నిరాకరించబడుతుంది. ఏ ఖాతాకైనా తప్పు పాస్వర్డ్ ప్రామాణీకరణ దశలో తిరస్కరించబడుతుంది, గ్రూపు నియమం ద్వారా కాదు.

క్లయింట్కు కనిపించే లోపాన్ని మరియు సర్వర్ లాగ్ను కలిసి చూడండి, ఎందుకంటే కనెక్ట్ అయ్యే వ్యక్తికి రెండు వైఫల్యాలు ఒకేలా కనిపించవచ్చు. మద్దతుకు ఈ భేదం ముఖ్యం: సరైన పాస్వర్డ్ ఉన్న బయటి వ్యక్తికి గ్రూపు మార్పు అవసరం, తప్పు పాస్వర్డ్కు ఆధారాల రీసెట్ అవసరం.

PAM సవరిస్తున్నప్పుడు రెండవ సెషన్ను తెరిచి ఉంచండి, మార్పు తర్వాత సాధారణ SSH లాగిన్ను కూడా ధృవీకరించండి. అంకిత సేవ ఉద్దేశం సిస్టమ్ లాగిన్ ప్రభావితం కాకూడదు అనేది, దాన్ని తెలుసుకోవడానికి ఏకైక మార్గం పరీక్షించడం.

ఏదైనా విరిగితే కాపీ నుండి మునుపటి సేవా ఫైల్ను పునరుద్ధరించండి. మీకు కావలసిన నియమం చెప్పడం సులభం: సభ్యత్వం ఖాతాను VPN ప్రవేశానికి అర్హం చేస్తుంది, మరియు మిగతా ప్రతి తప్పనిసరి తనిఖీ ఇప్పటికీ వర్తిస్తుంది.