LinOTP ટુ-ફેક્ટર ઓથેન્ટિકેશન સર્વર

આજે હું કોર્પોરેટ નેટવર્ક, સાઇટ્સ, સેવાઓ, ssh ને સુરક્ષિત રાખવા માટે દ્વિ-પરિબળ પ્રમાણીકરણ સર્વર કેવી રીતે સેટ કરવું તે શેર કરવા માંગુ છું. સર્વર નીચેના સંયોજનને ચલાવશે: LinOTP + FreeRadius.

શા માટે આપણને તેની જરૂર છે?
આ એક સંપૂર્ણપણે મફત, અનુકૂળ ઉકેલ છે, તેના પોતાના નેટવર્કમાં, તૃતીય-પક્ષ પ્રદાતાઓથી સ્વતંત્ર.

અન્ય ઓપન સોર્સ પ્રોડક્ટ્સથી વિપરીત આ સેવા ખૂબ જ અનુકૂળ છે, એકદમ વિઝ્યુઅલ છે, અને મોટી સંખ્યામાં ફંક્શન્સ અને પોલિસીઓને પણ સપોર્ટ કરે છે (ઉદાહરણ તરીકે, login+password+(PIN+OTPToken)). API દ્વારા, તે sms મોકલવાની સેવાઓ (LinOTP Config->Provider Config->SMS Provider) સાથે એકીકૃત થાય છે, Google Authentificator જેવી મોબાઇલ એપ્લિકેશન માટે કોડ જનરેટ કરે છે અને ઘણું બધું. મને લાગે છે કે તેમાં ચર્ચા કરેલી સેવા કરતાં તે વધુ અનુકૂળ છે લેખ.

આ સર્વર Cisco ASA, OpenVPN સર્વર, Apache2 અને સામાન્ય રીતે RADIUS સર્વર (ઉદાહરણ તરીકે, ડેટા સેન્ટરમાં SSH માટે) દ્વારા પ્રમાણીકરણને સપોર્ટ કરતી લગભગ દરેક વસ્તુ સાથે સંપૂર્ણ રીતે કામ કરે છે.

તે જરૂરી છે:

1) ડેબિયન 8 (જેસી) - જરૂરી! (ડેબિયન 9 પર ટ્રાયલ ઇન્સ્ટોલેશન લેખના અંતે વર્ણવેલ છે)

પ્રારંભ કરો:

ડેબિયન 8 ઇન્સ્ટોલ કરી રહ્યું છે.

LinOTP રીપોઝીટરી ઉમેરો:

# echo 'deb http://www.linotp.org/apt/debian jessie linotp' > /etc/apt/sources.list.d/linotp.list

કીઓ ઉમેરી રહ્યા છે:

# gpg --search-keys 913DFF12F86258E5

કેટલીકવાર "સ્વચ્છ" ઇન્સ્ટોલેશન દરમિયાન, આ આદેશ ચલાવ્યા પછી, ડેબિયન પ્રદર્શિત કરે છે:

gpg: создан каталог `/root/.gnupg'
gpg: создан новый файл настроек `/root/.gnupg/gpg.conf'
gpg: ВНИМАНИЕ: параметры в `/root/.gnupg/gpg.conf' еще не активны при этом запуске
gpg: создана таблица ключей `/root/.gnupg/secring.gpg'
gpg: создана таблица ключей `/root/.gnupg/pubring.gpg'
gpg: не заданы серверы ключей (используйте --keyserver)
gpg: сбой при поиске на сервере ключей: плохой URI

આ પ્રારંભિક gnupg સેટઅપ છે. ઠીક છે. ફક્ત ફરીથી આદેશ ચલાવો.
ડેબિયનના પ્રશ્ન માટે:

gpg: поиск "913DFF12F86258E5" на hkp сервере keys.gnupg.net
(1)	LSE LinOTP2 Packaging <[email protected]>
	  2048 bit RSA key F86258E5, создан: 2010-05-10
Keys 1-1 of 1 for "913DFF12F86258E5".  Введите числа, N) Следующий или Q) Выход>

અમે જવાબ આપીએ છીએ: 1

આગલું:

# gpg --export 913DFF12F86258E5 | apt-key add -

# apt-get update

mysql ઇન્સ્ટોલ કરો. સિદ્ધાંતમાં, તમે બીજા sql સર્વરનો ઉપયોગ કરી શકો છો, પરંતુ સરળતા માટે હું તેનો ઉપયોગ LinOTP માટે ભલામણ મુજબ કરીશ.

(લિનઓટીપી ડેટાબેઝને પુનઃરૂપરેખાંકિત કરવા સહિતની વધારાની માહિતી, માટેના સત્તાવાર દસ્તાવેજોમાં મળી શકે છે. કડી. ત્યાં તમે આદેશ પણ શોધી શકો છો: જો તમે પહેલેથી જ mysql ઇન્સ્ટોલ કરેલ હોય તો પરિમાણો બદલવા માટે dpkg-reconfigure linotp).

# apt-get install mysql-server

# apt-get update

(ફરીથી અપડેટ્સ તપાસવાથી નુકસાન થશે નહીં)
LinOTP અને વધારાના મોડ્યુલ્સ ઇન્સ્ટોલ કરો:

# apt-get install linotp

અમે ઇન્સ્ટોલરના પ્રશ્નોના જવાબ આપીએ છીએ:
Apache2 નો ઉપયોગ કરો: હા
એડમિન લિનોટપ માટે પાસવર્ડ બનાવો: “તમારો પાસવર્ડ”
સ્વ-હસ્તાક્ષરિત પ્રમાણપત્ર જનરેટ કરો?: હા
MySQL નો ઉપયોગ કરો?: હા
ડેટાબેઝ ક્યાં સ્થિત છે: લોકલહોસ્ટ
સર્વર પર LinOTP ડેટાબેઝ (આધાર નામ) બનાવો: LinOTP2
ડેટાબેઝ માટે અલગ વપરાશકર્તા બનાવો: LinOTP2
અમે વપરાશકર્તા માટે પાસવર્ડ સેટ કર્યો છે: "તમારો પાસવર્ડ"
શું મારે હવે ડેટાબેઝ બનાવવો જોઈએ? ("શું તમે ખરેખર ઇચ્છો છો..." જેવું કંઈક): હા
ઇન્સ્ટોલ કરતી વખતે તમે બનાવેલ MySQL રૂટ પાસવર્ડ દાખલ કરો: “તમારો પાસવર્ડ”
થઈ ગયું

(વૈકલ્પિક, તમારે તેને ઇન્સ્ટોલ કરવાની જરૂર નથી)

# apt-get install linotp-adminclient-cli 

(વૈકલ્પિક, તમારે તેને ઇન્સ્ટોલ કરવાની જરૂર નથી)

# apt-get install libpam-linotp  

અને તેથી અમારું Linotp વેબ ઈન્ટરફેસ હવે અહીં ઉપલબ્ધ છે:

"<b>https</b>: //IP_сервера/manage"

હું વેબ ઈન્ટરફેસમાં સેટિંગ્સ વિશે થોડી વાર પછી વાત કરીશ.

હવે, સૌથી મહત્વની વસ્તુ! અમે FreeRadius ને વધારીએ છીએ અને તેને Linotp સાથે લિંક કરીએ છીએ.

LinOTP સાથે કામ કરવા માટે ફ્રીરેડિયસ અને મોડ્યુલ ઇન્સ્ટોલ કરો

# apt-get install freeradius linotp-freeradius-perl

ક્લાયંટ અને યુઝર ત્રિજ્યા રૂપરેખાઓનો બેકઅપ લો.

# mv /etc/freeradius/clients.conf  /etc/freeradius/clients.old

# mv /etc/freeradius/users  /etc/freeradius/users.old

ખાલી ક્લાયંટ ફાઇલ બનાવો:

# touch /etc/freeradius/clients.conf

અમારી નવી રૂપરેખા ફાઇલને સંપાદિત કરી રહ્યા છીએ (બેકઅપ લીધેલ રૂપરેખાનો ઉપયોગ ઉદાહરણ તરીકે કરી શકાય છે)

# nano /etc/freeradius/clients.conf

client 192.168.188.0/24 {
secret  = passwd # пароль для подключения клиентов
}

આગળ, વપરાશકર્તાઓની ફાઇલ બનાવો:

# touch /etc/freeradius/users

અમે ફાઇલને સંપાદિત કરીએ છીએ, ત્રિજ્યાને કહીએ છીએ કે અમે પ્રમાણીકરણ માટે પર્લનો ઉપયોગ કરીશું.

# nano /etc/freeradius/users

DEFAULT Auth-type := perl

આગળ, ફાઇલમાં ફેરફાર કરો /etc/freeradius/modules/perl

# nano /etc/freeradius/modules/perl

આપણે મોડ્યુલ પેરામીટરમાં પર્લ લિનોટપ સ્ક્રિપ્ટનો પાથ સ્પષ્ટ કરવાની જરૂર છે:

Perl { .......
.........
<source lang="bash">module = /usr/lib/linotp/radius_linotp.pm

... ..
આગળ, અમે એક ફાઇલ બનાવીએ છીએ જેમાં આપણે કહીએ છીએ કે કઈ (ડોમેન, ડેટાબેઝ અથવા ફાઇલ)માંથી ડેટા લેવો.

# touch /etc/linotp2/rlm_perl.ini

# nano /etc/linotp2/rlm_perl.ini

URL=https://IP_вашего_LinOTP_сервера(192.168.X.X)/validate/simplecheck
REALM=webusers1c
RESCONF=LocalUser
Debug=True
SSL_CHECK=False

હું અહીં થોડી વધુ વિગતમાં જઈશ કારણ કે તે મહત્વપૂર્ણ છે:

ટિપ્પણીઓ સાથે ફાઇલનું સંપૂર્ણ વર્ણન:
linOTP સર્વરનો #IP (અમારા LinOTP સર્વરનું IP સરનામું)
URL=https://172.17.14.103/validate/simplecheck
#અમારો વિસ્તાર જે અમે LinOTP વેબ ઈન્ટરફેસમાં બનાવીશું.)
REALM=rearm1
# વપરાશકર્તા જૂથનું નામ જે LinOTP વેબ મઝલમાં બનાવેલ છે.
RESCONF=flat_file
#વૈકલ્પિક: જો બધું બરાબર કામ કરતું હોય તો ટિપ્પણી કરો
ડીબગ = સાચું
#વૈકલ્પિક: આનો ઉપયોગ કરો, જો તમારી પાસે સ્વ-હસ્તાક્ષરિત પ્રમાણપત્રો હોય, અન્યથા ટિપ્પણી કરો (જો આપણે અમારું પોતાનું પ્રમાણપત્ર બનાવીએ અને તેને ચકાસવા માગીએ તો SSL)
SSL_CHECK=ખોટું

આગળ, ફાઇલ /etc/freeradius/sites-available/linotp બનાવો

# touch /etc/freeradius/sites-available/linotp

# nano /etc/freeradius/sites-available/linotp

અને તેમાં રૂપરેખાની નકલ કરો (કંઈપણ સંપાદિત કરવાની જરૂર નથી):

authorize {
#normalizes maleformed client request before handed on to other modules (see '/etc/freeradius/modules/preprocess')
preprocess
#  If you are using multiple kinds of realms, you probably
#  want to set "ignore_null = yes" for all of them.
#  Otherwise, when the first style of realm doesn't match,
#  the other styles won't be checked.
#allows a list of realm (see '/etc/freeradius/modules/realm')
IPASS
#understands something like USER@REALM and can tell the components apart (see '/etc/freeradius/modules/realm')
suffix
#understands USERREALM and can tell the components apart (see '/etc/freeradius/modules/realm')
ntdomain
#  Read the 'users' file to learn about special configuration which should be applied for
# certain users (see '/etc/freeradius/modules/files')
files
# allows to let authentification to expire (see '/etc/freeradius/modules/expiration')
expiration
# allows to define valid service-times (see '/etc/freeradius/modules/logintime')
logintime
# We got no radius_shortname_map!
pap
}
#here the linotp perl module is called for further processing
authenticate {
perl
}

આગળ આપણે સિમ લિંક બનાવીશું:

# ln -s ../sites-available/linotp /etc/freeradius/sites-enabled

વ્યક્તિગત રીતે, હું ડિફૉલ્ટ ત્રિજ્યા સાઇટ્સને મારી નાખું છું, પરંતુ જો તમને તેમની જરૂર હોય, તો તમે કાં તો તેમની રૂપરેખામાં ફેરફાર કરી શકો છો અથવા તેમને અક્ષમ કરી શકો છો.

# rm /etc/freeradius/sites-enabled/default

# rm /etc/freeradius/sites-enabled/inner-tunnel

# service freeradius reload

હવે ચાલો વેબ ફેસ પર પાછા જઈએ અને તેને થોડી વધુ વિગતમાં જોઈએ:
ઉપરના જમણા ખૂણે LinOTP Config -> UserIdResolvers -> New પર ક્લિક કરો
અમને જે જોઈએ છે તે અમે પસંદ કરીએ છીએ: LDAP (AD win, LDAP samba), અથવા SQL, અથવા Flatfile સિસ્ટમના સ્થાનિક વપરાશકર્તાઓ.

જરૂરી ફીલ્ડ્સ ભરો.

આગળ અમે REALMS બનાવીએ છીએ:
ઉપરના જમણા ખૂણે, LinOTP Config -> Realms -> New પર ક્લિક કરો.
અને અમારા REALMS ને નામ આપો, અને અગાઉ બનાવેલ UserIdResolvers પર પણ ક્લિક કરો.

ફ્રીરેડિયસને /etc/linotp2/rlm_perl.ini ફાઇલમાં આ તમામ ડેટાની જરૂર છે, જેમ કે મેં ઉપર લખ્યું છે, તેથી જો તમે તેને સંપાદિત ન કર્યું હોય, તો હમણાં કરો.

સર્વર બધું ગોઠવેલું છે.

ઉમેરો

ડેબિયન 9 પર LinOTP સેટ કરી રહ્યું છે:

સ્થાપન:

# echo 'deb http://linotp.org/apt/debian stretch linotp' > /etc/apt/sources.list.d/linotp.list 

# apt-get install dirmngr

# apt-key adv --recv-keys 913DFF12F86258E5

# apt-get update

# apt-get install mysql-server

(ડિફૉલ્ટ રૂપે, ડેબિયન 9 mysql (mariaDB) માં રૂટ પાસવર્ડ સેટ કરવાની ઑફર કરતું નથી, અલબત્ત તમે તેને ખાલી છોડી શકો છો, પરંતુ જો તમે સમાચાર વાંચો છો, તો આ ઘણી વાર "મહાકાવ્ય નિષ્ફળતા" તરફ દોરી જાય છે, તેથી અમે તેને સેટ કરીશું. કોઈપણ રીતે)

# mysql -u root -p

use mysql;

UPDATE user SET Password = PASSWORD('тут_пароль') WHERE User = 'root';

exit

# apt-get install linotp

# apt-get install linotp-adminclient-cli

# apt-get install python-ldap

# apt install freeradius

# nano /etc/freeradius/3.0/sites-enabled/linotp

કોડ પેસ્ટ કરો (JuriM દ્વારા મોકલવામાં આવ્યો છે, તેના માટે તેમનો આભાર!):

સર્વર linotp {
સાંભળો {
ipaddr = *
પોર્ટ = 1812
type=auth
}
સાંભળો {
ipaddr = *
પોર્ટ = 1813
type = acct
}
અધિકૃત કરો {
પૂર્વ પ્રક્રિયા
અપડેટ {
&control:Auth-Type := Perl
}
}
પ્રમાણિત કરો {
ઓથ-પ્રકાર પર્લ {
પર્લ
}
}
નામું {
યુનિક્સ
}
}

સંપાદિત કરો /etc/freeradius/3.0/mods-enabled/perl

પર્લ {
ફાઇલનામ = /usr/share/linotp/radius_linotp.pm
func_authenticate = પ્રમાણિત કરો
func_authorize = અધિકૃત કરો
}

કમનસીબે, ડેબિયન 9 માં radius_linotp.pm લાઇબ્રેરી રિપોઝીટરીઝમાંથી ઇન્સ્ટોલ કરેલી નથી, તેથી અમે તેને ગીથબમાંથી લઈશું.

# apt install git

# git clone https://github.com/LinOTP/linotp-auth-freeradius-perl

# cd linotp-auth-freeradius-perl/

# cp radius_linotp.pm /usr/share/linotp/radius_linotp.pm

હવે ચાલો સંપાદિત કરીએ /etc/freeradius/3.0/clients.conf

ક્લાયંટ સર્વર્સ {
ipaddr = 192.168.188.0/24
ગુપ્ત = તમારો પાસવર્ડ
}

હવે નેનો /etc/linotp2/rlm_perl.ini ને ઠીક કરીએ

અમે ડેબિયન 8 પર ઇન્સ્ટોલ કરતી વખતે તે જ કોડ પેસ્ટ કરીએ છીએ (ઉપર વર્ણવેલ)

તે બધા વિચાર મુજબ છે. (હજી સુધી ચકાસાયેલ નથી)

હું સિસ્ટમો સેટ કરવા પર કેટલીક લિંક્સ નીચે મૂકીશ જેને મોટાભાગે દ્વિ-પરિબળ પ્રમાણીકરણ સાથે સુરક્ષિત કરવાની જરૂર છે:
માં દ્વિ-પરિબળ પ્રમાણીકરણ સેટ કરી રહ્યું છે Apache2

Cisco ASA સાથે સેટઅપ(ત્યાં એક અલગ ટોકન જનરેશન સર્વરનો ઉપયોગ થાય છે, પરંતુ ASA ની સેટિંગ્સ પોતે સમાન છે).

દ્વિ-પરિબળ પ્રમાણીકરણ સાથે VPN

ગોઠવણ ssh માં બે પરિબળ પ્રમાણીકરણ (LinOTP પણ ત્યાં વપરાય છે) - લેખકનો આભાર. ત્યાં તમે LiOTP નીતિઓ સેટ કરવા વિશે રસપ્રદ વસ્તુઓ પણ મેળવી શકો છો.

ઉપરાંત, ઘણી સાઇટ્સના સેમી ટુ-ફેક્ટર ઓથેન્ટિકેશનને સપોર્ટ કરે છે (WordPress માટે, LinOTP માટે તેનું પોતાનું ખાસ મોડ્યુલ પણ છે. GitHub), ઉદાહરણ તરીકે, જો તમે કંપનીના કર્મચારીઓ માટે તમારી કોર્પોરેટ વેબસાઇટ પર સુરક્ષિત વિભાગ બનાવવા માંગો છો.
મહત્વપૂર્ણ હકીકત! Google Authenticator નો ઉપયોગ કરવા માટે “Google autentificator” બૉક્સને ચેક કરશો નહીં! ત્યારે QR કોડ વાંચી શકાતો નથી... (વિચિત્ર હકીકત)

આ લેખ લખવા માટે, નીચેના લેખોની માહિતીનો ઉપયોગ કરવામાં આવ્યો હતો:
itnan.ru/post.php?c=1&p=270571
www.digitalbears.net/?p=469

લેખકોનો આભાર.

સોર્સ: www.habr.com