రెండు లాగిన్ తనిఖీలు రెండు కారకాలు కావు: VPN మరియు RADIUS

VPN గేట్వేకు రెండవ ప్రామాణీకరణ బ్యాకెండ్ను జోడించడం రెండవ కారకాన్ని జోడించినట్లు అనిపిస్తుంది. సాధారణంగా అది రెండవ తనిఖీని జోడిస్తుంది, అది వేరే వైఫల్య పద్ధతులు ఉన్న వేరే వస్తువు. రెండూ విజయవంతం కావాలా, ప్రతి ఒక్కటి ఏమి నిరూపిస్తుంది మరియు ఒకటి అందుబాటులో లేనప్పుడు ఏమి జరుగుతుంది అనేది మూడు వేర్వేరు నిర్ణయాలు. తప్పు చేస్తే గేట్వే ప్రదర్శనలో కఠినంగా, అంతరాయ సమయంలో బలహీనంగా ఉంటుంది.

రెండవ బ్యాకెండ్ నిజంగా ఏమి నిరూపిస్తుంది

స్థానిక ఖాతా శోధన ఒక పేరు డేటాబేస్లో ఉందని మరియు పాస్వర్డ్ దానితో సరిపోలిందని నిరూపిస్తుంది. RADIUS మార్పిడి RADIUS సర్వర్ స్వీకరించిన లక్షణాలకు Access-Accept తిరిగి ఇచ్చిందని నిరూపిస్తుంది. రెండు ప్రకటనలలో ఏదీ కారక రకాన్ని ప్రస్తావించదు, ఎందుకంటే రెండూ జ్ఞానాన్ని ధృవీకరిస్తాయి. మరియు NIST డిజిటల్ గుర్తింపు మార్గదర్శిని వేర్వేరు కారక రకాలు మరియు వాటి ప్రామాణీకరణకర్తలను గణిస్తుంది, సర్వర్లు లేదా సూచనలను కాదు.

రెండు వ్యవస్థలు పాల్గొనే చెల్లుబాటు అయ్యే నిర్మాణం ఉంది. కేంద్ర సేవ వ్యక్తిని ప్రామాణీకరించగలదు, అయితే గేట్వే ఆ ఖాతాకు ఈ సొరంగం హక్కు ఉందా అని స్వతంత్రంగా తనిఖీ చేస్తుంది. అది ప్రామాణీకరణకు పక్కన ఉన్న అధికారం, దాన్ని రెండు కారకాలు అనడం విధాన తనిఖీని యాజమాన్య రుజువుతో కలిపేస్తుంది.

ఒకదాన్ని ధృవీకరించే దాని ముందు నిలబడినప్పుడు RADIUS నిజమైన రెండవ కారకాన్ని మోసుకెళ్లగలదు, ఉదాహరణకు పుష్ అనుమతి లేదా హార్డ్వేర్ టోకెన్. కవరు వినియోగదారు ఏ ప్రామాణీకరణకర్తలను చూపించారో చెప్పదు, కాబట్టి గేట్వే లేబుల్ కాదు, బ్యాకెండ్ విధానాన్ని చదవండి.

AND, OR మరియు ఫాల్బ్యాక్ వేర్వేరు ఉత్పత్తులు

అమలులను పోల్చే ముందు మీ అవసరంలో రెండూ అంటే ఏమిటో నిర్ణయించండి. AND విధానం పేర్కొన్న ప్రతి తనిఖీ ఉత్తీర్ణత పొందాలని కోరుతుంది, OR విధానం విజయవంతమైనదాన్ని అంగీకరిస్తుంది, ఫాల్బ్యాక్ ప్రకటించిన వైఫల్య పరిస్థితుల్లో మాత్రమే రెండవదాన్ని ప్రయత్నిస్తుంది. ఈ మూడూ అంతరాయ సమయంలో వ్యతిరేకంగా ప్రవర్తిస్తాయి, సాధారణంగా వాటిలో ఒకటే సమీక్ష ఉద్దేశించినది.

కాన్ఫిగరేషన్ స్క్రీన్కు రెండు బ్యాకెండ్ నమోదులను జోడించడం ఉత్పత్తి ఏ విధానాన్ని అమలు చేస్తుందో వెల్లడించదు. కొన్ని గేట్వేలు ప్లగిన్లను క్రమంగా గొలుసుకట్టి మొదటి తిరస్కరణలో ఆగిపోతాయి, అది ప్రతి ప్లగిన్ తప్పనిసరి అయినప్పుడే AND. మరికొన్ని స్థానిక ఖాతాను ఓవర్రైడ్గా పరిగణిస్తాయి, అది కేంద్ర అంతరాయాన్ని బైపాస్గా మారుస్తుంది. నమ్మదగిన సమాధానం ప్రతి మార్గానికి మీరు అమలు చేసే buildకు వ్యతిరేకంగా నడిచే నమోదిత ప్రతికూల పరీక్ష.

ఫాల్బ్యాక్ అత్యధిక సందేహానికి అర్హం, ఎందుకంటే ఏదైనా పాడైనప్పుడు పని కొనసాగించడానికి అది ఉంది. RADIUS అందుబాటులో లేనప్పుడల్లా స్థానిక పాస్వర్డ్ను అంగీకరించే ఫాల్బ్యాక్ కేంద్ర విధానాన్ని రెండవ, బలహీనమైన ద్వారంగా మార్చింది.

OpenVPN యొక్క ద్వంద్వ తనిఖీ ఒక నిర్దిష్ట సందర్భం

కమ్యూనిటీ OpenVPN 2.6 రెండూ సక్రియంగా ఉన్నప్పుడు క్లయింట్ ప్రమాణపత్రం మరియు కాన్ఫిగర్ చేసిన auth-user-pass-verify స్క్రిప్ట్ రెండింటినీ కోరుతుంది. అది ప్రమాణపత్ర ధృవీకరణ మరియు ఆధారాల స్క్రిప్ట్ మధ్య నమోదిత AND, అది నిజంగా రెండు తనిఖీలు. అయినప్పటికీ అది స్వయంచాలకంగా రెండు రకాల కారకాలు కాదు, ఎందుకంటే స్క్రిప్ట్ పాస్వర్డ్ను మాత్రమే ధృవీకరించవచ్చు.

కలయిక అనుబంధ ప్రశ్నను కూడా తెరిచి ఉంచుతుంది. ప్రమాణపత్రం సాధారణంగా పరికరాన్ని గుర్తిస్తుంది, ఆధారాలు వ్యక్తిని గుర్తిస్తాయి, డిఫాల్ట్ ప్రవాహంలో రెండూ ఒకే ప్రధాన వ్యక్తిని సూచించాలని ఏదీ కోరదు. ఏ జతలు అనుమతించబడతాయో నిర్ణయించి, ఆ మ్యాప్ను ధృవీకరణ స్క్రిప్ట్ లోపల లేదా తర్వాతి అధికార దశలో అమలు చేయండి.

ప్రమాణపత్రం-మాత్రమే మోడ్ ఒకే తనిఖీ, PINతో రక్షించబడి ఉండవచ్చు లేదా ఉండకపోవచ్చు అనే కీపై ఆధారపడి ఉంటుంది. PIN అదే ఆధారాన్ని జ్ఞానం మరియు యాజమాన్యంగా మార్చేది కీ దాని లేకుండా ఉపయోగించలేనప్పుడు మాత్రమే. ఆ కీని డిస్క్లో ఎన్క్రిప్ట్ చేయకుండా వదిలేయడం రెండవ భాగాన్ని ఫైల్ అనుమతికి తగ్గిస్తుంది.

పరికర తయారీదారులు తమ సొంత ప్లంబింగ్ను నిర్మిస్తారు, తరచుగా వెబ్ కన్సోల్ వెనుక PAM మాడ్యూల్ లేదా RADIUS ప్లగిన్. కమ్యూనిటీ ప్రవర్తన ద్వంద్వ తనిఖీలు ఎలా ఉంటాయో తెలిపే సూచన, పరికరం వాటిని ఎలా కలుపుతుందో వివరణ కాదు.

మీ గేట్వేపై కలయికను తనిఖీ చేయండి

కన్సోల్ సారాంశాన్ని నమ్మే ముందు కాన్ఫిగరేషన్ చదవండి. విధానాన్ని నిర్ణయించే పంక్తులు ప్రమాణపత్ర మోడ్, ఆధారాల స్క్రిప్ట్ మరియు ప్లగిన్ క్రమం.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep ప్రమాణపత్రం అవసరమా మరియు దాని తర్వాత ఏ స్క్రిప్ట్ నడుస్తుందో చూపిస్తుంది, క్రమం పేర్లు సూచించే దానికంటే ముఖ్యం. ప్రమాణపత్ర డంప్ గేట్వే చూసే గుర్తింపును ఇస్తుంది, అనుబంధ మ్యాప్కు అవసరమైన CN మరియు క్రమ సంఖ్యతో సహా. RADIUS పరీక్ష ప్రతికూల సందర్భం: తప్పు పాస్వర్డ్ Access-Reject మరియు సరైనది Access-Accept ఇవ్వాలి. తిరస్కరించిన ఆధారం ఇప్పటికీ సెషన్ ఇస్తే, స్క్రిప్ట్ ప్రామాణీకరణ మార్గంలో అసలే లేదు.

తర్వాత ప్రయోగశాల ఉదాహరణపై అంతరాయ సందర్భాన్ని నడపండి: అవసరమైన బ్యాకెండ్ను ఆపి చెల్లుబాటు అయ్యే ఆధారాలతో కనెక్ట్ అవ్వండి. ఆశించిన ఫలితం తిరస్కరణ, మిగతా ఏదైనా ఎవరూ నమోదు చేయని ఫాల్బ్యాక్ విధానం.

అవసరాన్ని ప్రతికూల సందర్భాలుగా రాయండి

ఉపయోగించదగిన అవసరం రుజువులు, వాటిని సమర్పించడానికి అనుమతించబడిన ఖాతాలు మరియు ధృవీకరణకర్త లేనప్పుడు ఫలితాన్ని పేర్కొంటుంది. పరికర గుర్తింపు మరియు వ్యక్తి గుర్తింపు మధ్య అనుమతించబడిన జత కలయికను కూడా చెబుతుంది. అది కొనుగోలు ఆదేశంలోని ఉత్పత్తి పేర్ల కంటే ఖచ్చితమైనది, పరీక్షించగలిగేది.

అంగీకారంలో నాలుగు తిరస్కరణలు ఉండాలి: అనర్హమైన స్థానిక ఖాతా, తప్పిపోయిన తప్పనిసరి రుజువు, చెల్లని రెండవ కారకం మరియు చేరుకోలేని తప్పనిసరి బ్యాకెండ్. ప్రతి తిరస్కరణకు దాన్ని మిగతావాటి నుండి వేరు చేసే లాగ్ పంక్తి అవసరం, లేకపోతే తదుపరి సంఘటన ఊహలతో ప్రారంభమవుతుంది. ఏ భాగం ఏ నిర్ణయం తీసుకుందో నమోదు చేయండి, ఎందుకంటే గేట్వే, RADIUS సర్వర్ మరియు డైరెక్టరీ ఒకదానినొకటి నిందిస్తాయి.

ఏదైనా ప్లగిన్ లేదా ఫర్మ్వేర్ మార్పు తర్వాత నాలుగు తిరస్కరణలను మళ్లీ నడపండి. అవి చవకైనవి, అవి రక్షించే విధానమే దాడి చేసేవాడు మొదట పరిశీలించే భాగం.