Ìjẹ́rìísí LDAP OpenVPN ń ṣiṣẹ́ ṣùgbọ́n àyẹ̀wò ẹgbẹ́ ń kùnà: ibo ni kí a wò

Ìjẹ́rìísí lè kọjá nígbà tí àyẹ̀wò ẹgbẹ́ ń kọ gbogbo ènìyàn. Ṣàyẹ̀wò blọ́kì Authorization, àfidámọ̀ ẹgbẹ́ àti ibi ìparí àkójọpọ̀ ní tẹ̀lẹ̀tẹ̀lẹ̀.

Àwọn ẹ̀rí ìwọlé ń kọjá, ọ̀nà abẹ́lẹ̀ bẹ̀rẹ̀ sí í gòkè, lẹ́yìn náà ìpàdé kùnà pẹ̀lú ìfiránṣẹ́ nípa ẹgbẹ́ kì í ṣe nípa ọ̀rọ̀ ìpamọ́. Àkópọ̀ yẹn fi àìṣedéédé́ náà sínú ìdajì kejì iṣẹ́ ẹ̀rọ ìfikún LDAP: ìsopọ̀ àti àyẹ̀wò ọ̀rọ̀ ìpamọ́ ṣàṣeyọrí, ṣùgbọ́n ìpinnu ẹgbẹ́ tó tẹ̀lé kò ṣàṣeyọrí. Àwọn ìdajì méjèèjì ń kà látinú blọ́kì ìṣètò kan náà, ìdí ni yẹn tí àtúnṣe ní ibi kan fi lè fi ìkejì sílẹ̀ láìfọwọ́ kàn. Bẹ̀rẹ̀ láti orí ìlà ìkọ̀wé tó dárúkọ ìgbésẹ̀, kì í ṣe láti inú àkọsílẹ̀ tí o ń dán wò láìrò.

Wo ìkọ̀sílẹ̀ bí ìdáhùn àṣẹ

Ẹ̀rọ ìfikún ṣe ìsopọ̀ iṣẹ́, wá àkọsílẹ̀, ṣàyẹ̀wò ọ̀rọ̀ ìpamọ́ tí wọ́n fún, lẹ́yìn náà ó béèrè bóyá àkọsílẹ̀ yẹn wà nínú ẹgbẹ́ tí a gbà láàyè. Ìwọ̀nyí ni iṣẹ́ mẹ́rin ọ̀tọ̀ọ̀tọ̀, ìkẹyìn nìkan ni ó jẹ mọ́ àwọn ẹgbẹ́. Nítorí náà ìkọ̀sílẹ̀ tó dé lẹ́yìn ìsopọ̀ tó ṣàṣeyọrí kò sọ nǹkan kan nípa ọ̀rọ̀ ìpamọ́, kódà nígbà tí ẹ̀rọ ìbánisọ̀rọ̀ fi àṣìṣe ìjẹ́rìísí gbogbogbò hàn. Gbígbé ìpele ìkọ̀wé ẹ̀rọ ìfikún sókè kí o tó yí ìṣètò padà ni ohun tó ya àwọn mẹ́rẹ̀ẹ̀rin yẹn sótọ̀ nínú àbájáde.

Wá ìgbéléwọ̀n ẹgbẹ́ fúnra rẹ̀. Nígbà tí kò bá sí ìbéèrè ẹgbẹ́ kankan rárá, a kò dé blọ́kì àṣẹ, èyí tó sábà túmọ̀ sí pé ìtọ́ni kan wà lóde blọ́kì tó ní í tàbí àṣàyàn pàtàkì kan kù. Nígbà tí ìbéèrè bá farahàn tí kò sì dá nǹkan padà, ibi ìparí tàbí àlẹ̀mọ́ ń dáhùn ìbéèrè mìíràn yàtọ̀ sí èyí tí o ní lọ́kàn.

Pinnu bóyá ẹgbẹ́ ń gbé inú àlẹ̀mọ́ tàbí inú blọ́kì ẹgbẹ́

Àwọn ẹ̀yà méjì tí a ṣètìlẹ́yìn wà, àti dídapọ̀ wọ́n ni ọ̀nà tí ìṣètò tó ń ṣiṣẹ́ fi dẹ́kun ṣíṣe. Èyí àkọ́kọ́ ń ti ẹgbẹ́ lọ sínú wíwá olùlò nípa bíbéèrè àfidámọ̀ kan lórí ohun olùlò; èyí kejì ń fi wíwá olùlò sílẹ̀ bó ṣe wà, tí yóò sì jẹ́ kí ẹ̀rọ ìfikún wá ohun ẹgbẹ́ lẹ́yìn náà. Yan ọ̀kan fún ìgbékalẹ̀ kọ̀ọ̀kan kí o sì kọ èyí tí o yàn.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(&(sAMAccountName=%u)(memberOf=CN=VPN Access,OU=Groups,DC=example,DC=org))"
    RequireGroup false
</Authorization>

Nínú ẹ̀yà yẹn àlẹ̀mọ́ ni ó ń pinnu ohun gbogbo, nítorí náà RequireGroup gbọ́dọ̀ jẹ́ false, bí bẹ́ẹ̀ kọ́ ẹ̀rọ ìfikún yóò lọ wá ohun ẹgbẹ́ tí àlẹ̀mọ́ kò dárúkọ rí. Àfidámọ̀ inú àlẹ̀mọ́ gbọ́dọ̀ wà lórí ohun olùlò kí ó sì kún, èyí tí a kò dáàbò bò nígbà tí àwọn ẹgbẹ́ bá wà nínú ara wọn.

Ẹ̀yà mìíràn ń jẹ́ kí wíwá wà ní ọ̀nà rírọrùn, ó sì ń fi ìwákiri ẹgbẹ́ kún un lẹ́yìn náà. A dárúkọ ohun ẹgbẹ́ ní kedere, ẹ̀rọ ìfikún sì fi olùlò wéra pẹ̀lú àwọn ọmọ ẹgbẹ́ tí àkójọpọ̀ dá padà fún un. Kò sí nǹkan tó yí padà nínú àlẹ̀mọ́ olùlò, èyí tó mú kí ó rọrùn láti ṣàyẹ̀wò ẹ̀yà yìí nígbà tí ẹgbẹ́ mìíràn bá ń bojú tó.

<Authorization>
    BaseDN       "OU=People,DC=example,DC=org"
    SearchFilter "(sAMAccountName=%u)"
    RequireGroup true
    Group        "CN=VPN Access,OU=Groups,DC=example,DC=org"
</Authorization>

Ibi tí ó fara sin jẹ́ ti gbogbo: ìfiwéra ẹgbẹ́ tí ó rọrùn kò ṣí àwọn ẹgbẹ́ inú ara wọn, nítorí náà àkọsílẹ̀ tí ìwọlé rẹ̀ ń gbà látinú ẹgbẹ́ òbí yóò kùnà nígbà tí kọ́nsólì ṣì ń fi ẹgbẹ́ hàn. Active Directory ń fi member hàn lórí ẹgbẹ́, àwọn ẹ̀tò mìíràn ń lo uniqueMember, àti fífi ọwọ́ tọ́ka sí àfidámọ̀ tí kò tọ́ yóò dá àbájáde òfo padà dípò àṣìṣe.

Yan ibi ìparí tí ó ní ohun ẹgbẹ́

URL ni ó ń pinnu àkójọpọ̀ tí ẹ̀rọ ìfikún béèrè, olùdarí agbègbè lórí ibùdó 389 sì ń dáhùn fún àyíká orúkọ tirẹ̀ nìkan. Àkójọpọ̀ àgbáyé lórí ibùdó 3268 ń dáhùn fún gbogbo igbó, ìkàwé nìkan àti pẹ̀lú àkójọ àfidámọ̀ kan. Nígbà tí àwọn àkọsílẹ̀ wà ní agbègbè kan tí ẹgbẹ́ VPN sì wà ní òmíràn, ìbéèrè agbègbè kan lè rí olùlò tí yóò sì ṣì pàdánù ẹgbẹ́. Èyí ni ìgbà tí gbígbe URL lọ sí ibùdó àkójọpọ̀ ń yanjú ìkọ̀sílẹ̀, àti ọ̀nà kan náà ni ìgbà tí àwọn ènìyàn ń gbòòrò ọ̀rọ̀ jáù.

Àkójọ àfidámọ̀ kan ni ààlà: àfidámọ̀ tí àkójọpọ̀ kò ní ni a kò lè ṣe àlẹ̀mọ́ lé lórí, nítorí náà ìyípadà kan náà lè jẹ́ kí ìgbékalẹ̀ kan ṣiṣẹ́ tí òmíràn yóò sì dá òfo padà. Fi dáhùn ohun tí ibi ìparí ń dá padà fún olùlò àti ẹgbẹ́ gidi kí o tó tún blọ́kì kọ. Àwọn ìtọ́nisọ́nà àti TLS jẹ́ ọ̀rọ̀ ọ̀tọ̀ọ̀tọ̀ lẹ́ẹ̀kan sí i, nítorí pé a gbọ́dọ̀ tẹ̀lé ìtọ́nisọ́nà àti ibi ìparí tó béèrè TLS nílò àwọn fáìlì ìgbẹ́kẹ̀lé tó bá a mu.

Pa ipò àkọsílẹ̀ àti ìwọ̀n wíwá mọ́ ní ààyè tirẹ̀

Àmì àìṣiṣẹ́ jẹ́ ti àlẹ̀mọ́, kì í ṣe ti àyẹ̀wò ẹgbẹ́. Nínú Active Directory ó jẹ́ bíìtì kejì ti userAccountControl, àti láìsí ipò yẹn àkọsílẹ̀ tí a ti ṣí iṣẹ́ pẹ̀lú ọ̀rọ̀ ìpamọ́ tó wúlò yóò jẹ́rìí sí i lẹ́yìn náà yóò sì kùnà ní ìgbésẹ̀ ẹgbẹ́, èyí tó dà bí àṣìṣe àṣẹ. Ìwọ̀n wíwá jẹ́ ti DN ìpìlẹ̀, nítorí bíbẹ̀rẹ̀ láti gbòǹgbò agbègbè lọ máa ń lọ́ra tí ó sì lè bá àwọn ohun tó wà lóde ẹ̀ka àjọ tí o fẹ́ bo mu.

Pa àwọn ẹ̀tọ́ àkọsílẹ̀ ìsopọ̀ mọ́ ní dídín. Àwọn ẹ̀tọ́ àkójọpọ̀ gbòòrò ń yí àlẹ̀mọ́ tí a ṣètò lọ́nà tí kò tọ́ padà sí ìbéèrè tó ṣàṣeyọrí, wọ́n sì ń fi àṣìṣe pamọ́ títí ẹnìkan yóò fi ṣàyẹ̀wò àkọsílẹ̀. Yí ẹgbẹ́ padà nínú àkójọpọ̀ fúnra rẹ̀, kì í ṣe nínú àkọ́jọ àwọn ìyàtọ̀ àdúgbò, kí dídá àkọsílẹ̀ dúró lè tó láti yọ ìwọlé kúrò. Bí ẹgbẹ́ mìíràn bá ń bojú tó, gbà lórí àfidámọ̀ tí wọ́n ń kún kí o tó kọ àlẹ̀mọ́ lé e lórí.

Fi àkọsílẹ̀ mẹ́ta fi àbájáde hàn

Ṣiṣẹ́ ìṣètò lórí ìdánimọ̀ mẹ́ta: ọmọ ẹgbẹ́ tí a gbà láàyè, àkọsílẹ̀ tó wúlò lóde ẹgbẹ́, àti àkọsílẹ̀ tí a ti ṣí iṣẹ́. Bí a bá kọ gbogbo mẹ́tẹ̀ẹ̀ta, ìsopọ̀ tàbí ìbéèrè ẹgbẹ́ ti bàjẹ́; bí a bá gbà gbogbo mẹ́tẹ̀ẹ̀ta, kò sí ipò ẹgbẹ́ kankan tí a ń lò rárá. Àbájáde alápapọ̀ nìkan ni ó ń fi hàn pé ìṣètò ń ya àwọn ọ̀ràn tí ó ṣe pàtàkì fún ọ sótọ̀.

Ka àwọn ìdáhùn mẹ́ta kan náà tààrà láti inú àkójọpọ̀ kí o tó dá ẹ̀rọ ìfikún lẹ́bi. Ìbéèrè àkọ́kọ́ ń fi àfidámọ̀ ẹgbẹ́ tí àlẹ̀mọ́ gbára lé hàn, èyí kejì sì ń fi iye ìṣàkóso àkọsílẹ̀ hàn. Rọ́pò pẹ̀lú DN ìpìlẹ̀, àkọsílẹ̀ àti ibi ìparí rẹ:

ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=alice)" memberOf
ldapsearch -H ldap://dc01.example.org:3268 -x -D "[email protected]" -W -b "DC=example,DC=org" "(sAMAccountName=bob)" userAccountControl

Olùlò tí memberOf rẹ̀ ń dá òfo padà jẹ́ òtítọ́ àkójọpọ̀, kì í ṣe àṣìṣe ẹ̀rọ ìfikún, àti àkọsílẹ̀ tí ó ṣì ń jẹ́rìí sí i lẹ́yìn dídá a dúró túmọ̀ sí pé àlẹ̀mọ́ kò ní ipò ìṣàkóso àkọsílẹ̀. Tún ẹ̀rí yẹn ṣe kí o tó tún ìdánwò àkọsílẹ̀ mẹ́ta ṣe. Pa orí ìlà ìkọ̀wé tó dárúkọ ìgbésẹ̀ tó kùnà mọ́ ẹ̀gbẹ́ ìyípadà ìṣètò, kí ẹni tó kàn lè ya àṣẹ sótọ̀ kúrò nínú ìjẹ́rìísí láìtún wíwá ṣe.

Àwọn àpilẹ̀kọ tó jọra