Pag-lock ng account kumpara sa pagbabawal ng address: saan talaga nagbibilang ang OpenVPN

Ang pagharang sa isang address at pag-lock ng account ay dalawang magkaibang mekanismo, at nabigo sila sa magkasalungat na direksyon. Ang pagbabawal ng address ay pumipigil sa isang pinagmulan at ang target na account ay naaabot pa rin mula sa ibang lugar; ang pag-lock ng account ay pumipigil sa pagkakakilanlang iyon saanman, kahit sa laptop ng gumagamit mismo.

Para sa VPN na nagbibigay ng pagpapatunay sa PAM, ang tagabilang ay ang naaabot ng stack ng PAM, hindi ang naitala ng tagapakinig.

Dalawang tagabilang, dalawang magkaibang biktima

Ang tagapigil ng bilis ay tumitingin sa isang pinagmulan at nagtatanong kung ilang pagtatangka ang dumating mula roon kamakailan. Ang pag-lock ay tumitingin sa pagkakakilanlan at nagtatanong kung ilang pagkabigo ang naipon ng account. Pinoprotektahan ng una ang pagkakaroon, ng pangalawa ang kredensyal; walang pumapalit sa isa.

Kaya ang pahayag na hinaharangan namin ang IP pagkatapos ng limang pagkabigo ay hindi sagot sa ulat tungkol sa pagpuno ng kredensyal. Nagpapalit ang umaatake ng pinagmulan, kakaunti ang pagtatangka ng bawat isa, at hindi kailanman binibilang ang account. Sa kabaligtaran, ang pag-lock na walang kontrol sa pinagmulan ay nagpapahintulot sa umaatake na panatilihing naka-lock ang account nang walang hanggan sa sadyang pagkabigo.

Ang dalawang kontrol ay may magkaibang kuwento ng pagbawi. Ang pagbabawal ng address ay nagwawakas sa isang timer na walang kailangang isipin; ang pag-lock ng account ay maaaring mangailangan ng administrador, dokumentadong panahon ng paghihintay o pag-reset na self-service.

Hanapin ang imbakan na mayroon nang bilang

Bago magdagdag ng anuman, alamin kung mayroon nang imbakan ng mga pagkabigo. Ang lokal na account ng Linux, serbisyo ng direktoryo at panlabas na tagapagbigay ng pagkakakilanlan ay may kanya-kanyang bilang, at ang module ng PAM sa harap nila ay gumagawa ng pangalawa sa halip na palawakin ang una.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Basahin ang file ng serbisyo na talagang binabanggit ng VPN at sundan ang mga linya ng pagsasama. Sa maraming distribusyon, ang serbisyo ng VPN ay nagsasama ng isang karaniwang file, ibig sabihin ang bilang na iyong inaayos ay nalalapat din sa SSH at sa mga lokal na pag-login.

Kung nagpapatupad na ang direktoryo ng pag-lock, ang kapaki-pakinabang na tanong ay kung paano nararating ng usapan ng PAM ang desisyong iyon at kung paano ito iniuulat ng VPN. Ang lokal na bilang sa ibabaw ay hindi nagiging tagabilang ng direktoryo, at maaaring hindi magkasundo ang dalawang patakaran kung kailan magbubukas ang account.

pam_faillock ay may tatlong posisyon ng tawag, hindi isa

Hinihiwalay ng module ang tatlong operasyon na kadalasang nilalabo ng isang kopyadong linya: pagsuri kung naka-lock na ang account, pagtatala ng pagkabigo at paglilinis ng kasaysayan pagkatapos ng tagumpay.

Dito kadalasang nagkakamali ang paglipat mula sa mas lumang module ng pagbilang. Ang pagkopya ng linya mula sa gumaganang halimbawa ng pam_tally2 patungo sa stack ng pam_faillock ay hindi pagpapalit ng pangalan; iba ang dokumentadong setup, at ang maling pagkakalagay ng tawag ay maaaring magtala ng mga pagkabigo nang hindi kailanman Sinusuri.

faillock --user alice
faillock --user alice --reset

Ang tool ng inspeksyon ang pinakamabilis na paraan upang makita kung totoo ang tagabilang: ipinapakita nito ang mga naitalang pagkabigo para sa isang account at maaaring burahin ang mga ito. Kung hindi binabago ng kontroladong pagkabigo ang output na iyon, mali ang posisyon ng tawag.

Ang nakatalagang pangalan ng serbisyo ay hindi paghihiwalay

Ang pagbibigay sa VPN ng sarili nitong file ng serbisyo ng PAM ay nagpapakita ng nilalayong patakaran, ngunit hindi nililimitahan ang epekto. Ang anumang pagsasama ng karaniwang file ay nagdadala ng ginagawa ng file na iyon, kabilang ang mga bilang para sa buong sistema.

Magpasya nang malinaw kung ang pag-lock ay sumasaklaw lamang sa pag-access sa VPN o sa bawat serbisyong nagpapatunay ng parehong account. Ang dalawang sagot ay mapagtatanggol; ang pagkabigo ay ang paniniwalang pinili mo ang isa habang ang stack ay nagpapatupad ng isa pa.

Pagkatapos isaalang-alang ang gastos. Maaaring magdulot ang umaatake ng pag-lock, at ang gumagamit na nagdurusa ang may-ari ng account. Ang hangganan, panahon ng paghihintay at administratibong landas ng pagbawi ay bahagi ng patakaran, at ang pagbawi ay hindi dapat umasa sa muling pag-configure ng VPN sa gitna ng insidente.

Tanggapin ang pagkakasunod-sunod, hindi isang pagtanggi

Subukan gamit ang itinalagang pagkakakilanlan sa ilalim ng aprubadong plano, at subukan ang isang kadena sa halip na isang pangyayari: nagpapatunay ang wastong account, inililipat ng sadyang maling password ang tagabilang, nagkakabisa ang naka-configure na pag-lock, at ibinabalik ng dokumentadong pagbawi ang pag-access.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Obserbahan ang pag-uugali sa tagumpay nang kasing-ingat ng sa pagkabigo. Kung hindi nililinis ng matagumpay na pag-login ang kasaysayan, magla-lock ang account pagkatapos ng mabagal na pagtipon ng ordinaryong pagkakamali. Kung nililinis nito ang lahat mula sa bawat serbisyo, mas mahina ang tagabilang kaysa sinasabi ng patakaran.

Sa huli, ihinto ang mga kliyenteng walang pagmamatyag bago ideklara ang tagumpay. Ang naka-save na kredensyal na muling sumusubok sa background ay muling lilikha ng mga pagkabigo ilang minuto pagkatapos ng pagbawi at muling magla-lock ng account. Ang paglilimita ng bilis batay sa pinagmulan ay maaaring manatili bilang karagdagang kontrol, ngunit hindi ito ang patakaran ng account.