Hisobni qulflash yoki manzilni taqiqlash: OpenVPN aslida qayerda sanaydi

Manzilni bloklash va hisobni qulflash ikki xil mexanizm bo’lib, ular qarama-qarshi yo’nalishda muvaffaqiyatsizlikka uchraydi. Manzil taqiqi bitta manbani to’xtatadi va maqsadli hisob boshqa joydan ochiq qoladi; hisob qulfi bu shaxsni hamma joyda to’xtatadi, foydalanuvchining o’z noutbukida ham.

Autentifikatsiyani PAM ga topshirgan VPN uchun hisoblagich PAM ustasi yetib boradigan joy, tinglovchi qayd etgan narsa emas.

Ikki hisoblagich, ikki xil qurbon

Tezlik cheklovchisi manbaga qaraydi va yaqinda undan qancha urinish kelganini so’raydi. Qulf shaxsga qaraydi va hisob qancha muvaffaqiyatsizlik to’plaganini so’raydi. Birinchisi mavjudlikni, ikkinchisi hisob ma’lumotlarini himoya qiladi; biri ikkinchisining o’rnini bosmaydi.

Shuning uchun besh muvaffaqiyatsizlikdan keyin IP ni bloklaymiz degan gap hisob ma’lumotlarini to’ldirish haqidagi hisobotga javob emas. Hujumchi manbalarni almashtiradi, har biriga oz urinish tegadi va hisob hech qachon sanalmaydi. Aksincha, manba nazoratisiz qulf hujumchiga ataylab muvaffaqiyatsizlikka uchrab hisobni cheksiz qulflab turishga imkon beradi.

Ikki nazoratning tiklanish tarixi ham har xil. Manzil taqiqi hech kim o’ylamaydigan taymer bilan tugaydi; hisob qulfi administrator, hujjatlashtirilgan kutish davri yoki o’z-o’ziga xizmat ko’rsatish tiklashini talab qilishi mumkin.

Allaqachon sonni tutgan omborni toping

Biror narsa qo’shishdan oldin muvaffaqiyatsizliklar ombori bor-yo’qligini aniqlang. Mahalliy Linux hisobi, katalog xizmati va tashqi shaxs provayderi har biri o’z sonini yuritadi, ularning oldiga qo’yilgan PAM moduli birinchisini kengaytirish o’rniga ikkinchisini yaratadi.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

VPN aslida nomlaydigan xizmat faylini o’qing va uning qo’shish satrlariga ergashing. Ko’p distributivlarda VPN xizmati umumiy faylni qo’shadi, ya’ni siz sozlayotgan son SSH va mahalliy kirishlarga ham tegishli.

Agar katalog allaqachon qulfni qo’llasa, foydali savol PAM suhbati bu qarorga qanday yetishi va VPN buni qanday xabar qilishidir. Tepaga qo’shilgan mahalliy son katalogning hisoblagichiga aylanmaydi va ikki siyosat hisob qachon ochilishida kelisha olmasligi mumkin.

pam_faillock uchta chaqiruv joyiga ega, bitta emas

Modul bitta ko’chirilgan satr xiralashtiradigan uch amalni ajratadi: hisob allaqachon qulflanganini tekshirish, muvaffaqiyatsizlikni qayd etish va muvaffaqiyatdan keyin tarixni tozalash.

Aynan shu yerda eski hisoblash modulidan ko’chish odatda xato qiladi. Ishlaydigan pam_tally2 misolidan satrni pam_faillock ustasiga ko’chirish nom o’zgartirish emas; hujjatlashtirilgan sozlama boshqacha va noto’g’ri joyga qo’yilgan chaqiruv muvaffaqiyatsizliklarni hech qachon tekshirmasdan qayd etishi mumkin.

faillock --user alice
faillock --user alice --reset

Tekshirish vositasi hisoblagich haqiqiy ekanini ko’rishning eng tez yo’li: u hisobning qayd etilgan muvaffaqiyatsizliklarini ko’rsatadi va ularni o’chira oladi. Agar nazorat qilingan muvaffaqiyatsizlik bu chiqishni o’zgartirmasa, chaqiruv joyi xato.

Alohida xizmat nomi izolyatsiya emas

VPN ga o’zining PAM xizmat faylini berish ko’zda tutilgan siyosatni ko’rinadigan qiladi, ammo ta’sirni cheklamaydi. Umumiy faylning har qanday qo’shilishi o’sha fayl nima qilsa, shuni olib keladi, butun tizim uchun sonlar bilan birga.

Qulf faqat VPN kirishini qamrab oladimi yoki bir xil hisobni tasdiqlaydigan har bir xizmatni qamrab oladimi, aniq qaror qiling. Ikkala javob ham himoyalanadi; xato bittasini tanlaganingizga ishonish, ustasi esa boshqasini amalga oshirayotgan bo’lishi.

Keyin xarajatni hisobga oling. Qulfni hujumchi keltirib chiqarishi mumkin va aziyat chekkan foydalanuvchi hisob egasidir. Chegara, kutish davri va ma’muriy tiklash yo’li siyosatning qismi, tiklash esa voqea paytida VPN ni qayta sozlashga bog’liq bo’lmasligi kerak.

Ketma-ketlikni qabul qiling, bitta radni emas

Tasdiqlangan reja bo’yicha belgilangan shaxslar bilan sinab ko’ring va bitta voqea emas, zanjirni sinang: haqiqiy hisob autentifikatsiyadan o’tadi, ataylab noto’g’ri parol hisoblagichni suradi, sozlangan qulf kuchga kiradi va hujjatlashtirilgan tiklash kirishni qaytaradi.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Muvaffaqiyat xulqini muvaffaqiyatsizlikdagidek diqqat bilan kuzating. Agar muvaffaqiyatli kirish tarixni tozalamasa, oddiy xatolar sekin to’plangach hisob qulflanadi. Agar har bir xizmatdan hammasini tozalasa, hisoblagich siyosat da’vo qilganidan kuchsizroq.

Nihoyat, g’alabani e’lon qilishdan oldin nazoratsiz mijozlarni to’xtating. Saqlangan hisob ma’lumotlari fonda qayta urinib, tiklanishdan bir necha daqiqa o’tib muvaffaqiyatsizliklarni yana yaratadi va hisobni yana qulflaydi. Manbaga asoslangan tezlik cheklovi qo’shimcha nazorat sifatida qolishi mumkin, ammo bu hisob siyosati emas.