PAM siyosati bilan OpenVPN kirishlarini bitta guruh bilan cheklash

Har bir hisob odatdagidek kira olishi mumkin bo'lsin, lekin VPNdan faqat bitta guruh foydalansin. PAM bu farqni ikkinchi parol omborisiz ifodalay oladi va OpenVPN plaginini faqat siz ko'zlagan tekshiruvlarni o'z ichiga olgan xizmatga yo'naltirish mumkin. Hiyla shundaki, o'sha xizmatni tizim darajasidagi stekni tasodifan meros olmasdan qurishdir.

Bu yerdagi yo'riqnoma plagin xizmat nomidan boshlanadi, siyosat quradi va so'ng muhim uchta natijani sinaydi: a'zo, haqiqiy parolga ega begona shaxs va yomon hisob ma'lumotlari.

Nega alohida PAM xizmati

auth-pam plagini argument sifatida xizmat nomini oladi. Bu nom /etc/pam.d ostidagi faylni tanlaydi va o'sha fayldagi stek VPN kirishi paytida ishlaydi. Agar tizim kirishi ishlatadigan bir xil nomni bersangiz, o'sha stekdagi har bir qarorni, keyinroq aloqasiz sabablarga ko'ra qo'shilganlarini ham meros olasiz.

Buning o'rniga alohida xizmat yarating. Allaqachon ko'zlangan backendga qarshi autentifikatsiya qiladigan ishlaydigan stekdan boshlang, masalan, mahalliy parol fayli, SSSD yoki katalog xizmati, so'ng yaroqlilik qoidasini qo'shing. Bo'sh faylga ikki qator nusxalash keng tarqalgan xato: parol muddati tugashi, hisob qulflanishi va boshqa tekshiruvlar siz nusxalamagan stekda bo'lishi mumkin.

Xizmatni ajratish zarar doirasini ham cheklaydi. Umumiy stekdagi faqat VPN uchun qoida barchaga SSH yoki konsol kirishini taqiqlashi mumkin, bu esa kirish o'zgarishini uzilishga aylantiradi.

Guruh qoidasini yozish

Yaroqlilik tekshiruvi hisob ma'lumotlari tasdiqlangandan keyingi hisob bosqichiga tegishli. account required pam_succeed_if.so user ingroup vpnusers kabi qoida autentifikatsiya qilingan foydalanuvchi o'sha guruh a'zosi bo'lgandagina ishlov berishni davom ettirishga ruxsat beradi.

Bu qator parcha, to'liq xizmat emas. Uni har bir qabul qilingan yo'l yetib boradigan joyga joylashtiring va uning atrofidagi boshqaruv bayroqlarini tekshiring. Stekda oldinroq sufficient yoki sakrash boshqaruvi sizning qoidangiz ishga tushishidan oldin ishlov berishni tugatishi mumkin, bu cheklovni taklifga aylantiradi.

use_uid parametrini odat tufayli qo'shmang. Usiz modul autentifikatsiya qilinayotgan foydalanuvchini baholaydi; u bilan modul OpenVPN jarayoni ishlayotgan hisobni baholaydi, bu odatda root yoki xizmat hisobi va shuning uchun kirayotgan shaxs emas.

Guruh a'zoligi tizimning shaxsni aniqlash yechimidan keladi, siz taniydigan nomdan emas. Katalog foydalanuvchilari uchun aynan shu backend o'sha foydalanuvchining guruh so'rovlariga javob berishini tasdiqlang, chunki tanish nomli mahalliy guruh bir xil nomdagi katalog guruhidan boshqa obyekt.

Tartib va shaxs tuzoqlari

Guruh qoidasini autentifikatsiya stekidan keyin va hali ham amal qilishi kerak bo'lgan har bir tekshiruvdan keyin, lekin saqlaydigan hisob tekshiruvlaridan oldin yoki ularning yonida joylashtiring. PAM modullarni fayl tartibida baholaydi va har bir satrdagi boshqaruv qiymati muvaffaqiyatsizlik yakuniymi yoki yo'qmi hal qiladi.

Ikki nusxadagi steklardan ehtiyot bo'ling. Keng tarqalgan naqsh - allaqachon hisob qoidasini o'z ichiga olgan include, undan keyin sizning guruh qoidangiz, bu bitta kutgan joyda ikkita qaror hosil qiladi. Faqat tahrirlagan faylni emas, qo'shilgan faylni ham o'qing. Haqiqiy tartibni ko'rishning tez yo'li faylni yuqoridan pastga o'qib, har bir boshqaruv qiymatini yozib qo'yishdir.

Boshqa kirish talablarini daxlsiz saqlang. Muvaffaqiyatli parol sertifikat tekshiruvlari, ikkinchi omil yoki ulanishdan keyingi ruxsatni almashtirmaydi va bu siyosat ularning hech biriga o'rinbosar emas. U faqat hisob VPN kirish uchun ko'rib chiqilishga yaroqli yoki yo'qligini hal qiladi.

A'zolar, begonalar va noto'g'ri parollarni sinash

Siyosatni tugallangan deb hisoblashdan oldin uch holatni sinang. A'zo muvaffaqiyatli ulanadi. Guruhdan tashqaridagi haqiqiy hisob parolini autentifikatsiya qiladi, lekin VPN kirishi rad etiladi. Har qanday hisob uchun noto'g'ri parol autentifikatsiya bosqichida rad etiladi, guruh qoidasi bilan emas.

Mijozga ko'rinadigan xato va server jurnalini birga ko'ring, chunki ikkala muvaffaqiyatsizlik ulanayotgan kishiga o'xshash tuyulishi mumkin. Bu farq qo'llab-quvvatlash uchun muhim: to'g'ri parolga ega begona shaxsga guruh o'zgarishi kerak, noto'g'ri parol esa hisob ma'lumotlarini tiklashni talab qiladi.

PAMni tahrirlashda ikkinchi sessiyani ochiq tuting va o'zgarishdan keyin oddiy SSH kirishini ham tasdiqlang. Alohida xizmatning maqsadi tizim kirishi ta'sirlanmasligi kerakligidir va buni bilishning yagona yo'li sinab ko'rishdir.

Biror narsa buzilsa, oldingi xizmat faylini nusxadan tiklang. Kerakli qoidani aytish oson: a'zolik hisobni VPN kirish uchun yaroqli qiladi va qolgan barcha majburiy tekshiruvlar hali ham amal qiladi.