OpenVPN और सक्रिय निर्देशिका (उपयोगकर्ता प्रमाणपत्र के बिना Kerberos)

सक्रिय निर्देशिका के माध्यम से प्राधिकरण सहित OpenVPN के बारे में बहुत सारे गाइड लिखे गए हैं। उनमें से ज्यादातर एलडीएपी का उपयोग करने के लिए उबलते हैं, मुझे केर्बरोस का उपयोग करने का दृष्टिकोण नहीं मिला, जो कि पूर्ण-विकसित लेख में लिखा गया है। हालांकि, यहां कुछ नया आविष्कार नहीं किया जाएगा, मैंने अभी संकलित किया है कि मेरे से पहले क्या किया गया है, पीएएम कर्बेरोस के साथ ठीक काम करता है, और ओपनवीपीएन में एक देशी पीएएम प्लगइन है। मैंने उपयोगकर्ता प्रमाणपत्र और युक्तियों को छोड़ने का भी फैसला किया, जहां वे बस सलाह देते हैं कि सभी उपयोगकर्ता एक प्रमाण पत्र जारी करें, उन्होंने मुझे सूट नहीं किया, इसलिए एक और समाधान पाया गया जो सभी ग्राहकों पर काम करता है।

एनएसएस के बारे में थोड़ा सा

मेरे मामले में, मैंने sssd के साथ संयोजन में Centos 7 का उपयोग किया। हालांकि, विंडबाइंड के उपयोग से कुछ भी नहीं रोकता है। मुख्य बात यह है कि डोमेन में एक कार और एक केर्बरोस टिकट है। मैं इस बारे में नहीं लिखूंगा कि यह कैसे किया जाता है, क्योंकि मैं कुछ भी नया नहीं कहूंगा, नेटवर्क पर बहुत सारे अच्छे मैनुअल हैं।

यदि पहले ऐसा नहीं किया गया है, तो /etc/nsswitch.conf की सेटिंग को बदलना आवश्यक होगा। किस मॉड्यूल का उपयोग किया गया था, इसके आधार पर, आपको क्रमशः मॉड्यूल_नाम के बजाय sss या winbind दर्ज करना होगा। पैरामीटर विवरण man nsswitch.conf का उपयोग करके पढ़ा जा सकता है।

निम्नलिखित सेटिंग्स पर्याप्त होनी चाहिए:

 passwd: files module_name shadow: files module_name group: files module_name 

Sssd के मामले में, हम भूल नहीं करते हैं, अन्य बातों के अलावा, कि /etc/sssd/sssd.conf में [sssd] ब्लॉक में, nss का उल्लेख किया जाना चाहिए:

 services = nss, pam 

Winbind के लिए, मेरे लिए कुछ कहना मुश्किल है, मैंने इसका उपयोग नहीं किया है।

अंतिम लक्ष्य प्राप्त करने से सही परिणाम प्राप्त करना है। जांचें कि मशीन डोमेन उपयोगकर्ताओं और समूहों के बारे में जानकारी प्राप्त कर सकती है:

 > getent passwd kanlas kanlas:*:14123583:1257570:Kanlas Kanlasovich:/home/kanlas@example.com:/bin/bash > getent group VPN vpn:*:13821391:kanlas,igor,marina 

PAM कॉन्फ़िगर करें

अब आपको अपना PAM मॉड्यूल बनाने की आवश्यकता है। सिस्टम एक्सेस का उपयोग न करने के लिए ।conf, हम एक अलग फाइल बनाएंगे जहाँ से एक्सेस ग्रुप को पढ़ा जाएगा। मैं PAM मॉड्यूल में इतना अच्छा नहीं हूं, इसलिए मैं यह नहीं कह सकता कि नीचे दी गई उदाहरण में सभी लाइनों की आवश्यकता है या नहीं। सामान्य तौर पर, हम केवल account required pam_listfile.so onerr=fail item=group sense=allow file=/etc/openvpn/auth/access-groups में रुचि रखते account required pam_listfile.so onerr=fail item=group sense=allow file=/etc/openvpn/auth/access-groups ।

सबसे आसान विकल्प है, उदाहरण के लिए, लॉगिन मॉड्यूल और इसमें वांछित लाइन जोड़ना। जो किया गया था।

हमें मिलता है:

 #%PAM-1.0 auth [user_unknown=ignore success=ok ignore=ignore default=bad] pam_securetty.so auth substack system-auth auth include postlogin account required pam_listfile.so onerr=fail item=group sense=allow file=/etc/openvpn/auth/access-groups account include system-auth password include system-auth session required pam_selinux.so close session required pam_loginuid.so session optional pam_console.so session required pam_selinux.so open session required pam_namespace.so session optional pam_keyinit.so force revoke session include system-auth session include postlogin -session optional pam_ck_connector.so 

हमने इसे अपने विवेक पर नाम /etc/pam.d हुए /etc/pam.d में डाला।

मॉड्यूल में निर्दिष्ट /etc/openvpn/auth/access-groups , एक्सेस ग्रुप यहां लिखा जाएगा, आप चाहें तो अपना रास्ता निर्दिष्ट कर सकते हैं। आपको डोमेन के साथ समूह (सामान्य नाम) का नाम निर्दिष्ट करना होगा। मेरे मामले में, मैंने वहां पर VPN@example.com लिखा है।

यह OpenVPN को समझाने के लिए बना हुआ है कि इसे PAM का उपयोग करने की आवश्यकता है। हम सर्वर कॉन्फ़िगरेशन में निम्नलिखित पंक्तियाँ डालते हैं:

 plugin /usr/lib64/openvpn/plugins/openvpn-plugin-auth-pam.so __pam username-as-common-name 

अलग-अलग वितरण के अलग-अलग रास्ते हो सकते हैं! पथ के अनुसार फ़ाइल की जाँच करें, या खोज का उपयोग करें।

उपयोगकर्ता-नाम-आम-नाम पैरामीटर का उपयोग इस तथ्य के कारण है कि अन्यथा, क्लाइंट के पास ऑर्ट-उपयोगकर्ता-पास होने के बाद, प्रमाणपत्र में निर्दिष्ट नाम सर्वर को भेजा जाएगा।

क्लाइंट कॉन्फ़िगरेशन में, लाइन जोड़ें

 auth-user-pass 

इस सेटअप के पूरा होने पर, आप परीक्षण कर सकते हैं।

हम उपयोगकर्ता प्रमाणपत्र को हटा देते हैं

अब हमारे पास डोमेन के माध्यम से प्राधिकरण है और उपयोगकर्ता प्रमाणपत्र बेकार है, इसे छोड़ना एक तार्किक निर्णय की तरह लगता है। लेकिन मोबाइल ग्राहकों को इससे समस्या होती है, बस ऐसे कॉन्फ़िगरेशन को स्वीकार नहीं करना, और डेस्कटॉप वाले, हालांकि वे काम करते हैं, दुर्भावनापूर्ण रूप से कोस रहे हैं। सबसे पहले, हम सर्वर को फिर से कॉन्फ़िगर करेंगे ताकि उसे प्रमाणपत्र की आवश्यकता न पड़े।

 verify-client-cert none 

अगला, हम क्लाइंट कॉन्फ़िगरेशन में जोड़ते हैं

 setenv CLIENT_CERT 0 

यही है, अब ग्राहक एक प्रमाणपत्र पर शपथ नहीं लेंगे। यह हास्यास्पद है कि यह विकल्प iOS के लिए प्रश्न और उत्तर अनुभाग में छिपा हुआ है। मैंने आईओएस पर परीक्षण नहीं किया है, लेकिन एंड्रॉइड, साथ ही साथ मैकओएस ( बीटा क्लाइंट ) और विंडोज इन सेटिंग्स को एक धमाके के साथ स्वीकार करते हैं। Android पर केवल एक तृतीय-पक्ष OpenVPN क्लाइंट ऐसा नहीं कर सकता (जब तक यह लेख लिखा जा रहा था, वे पहले से ही इसे ठीक कर सकते थे)।