LinOTP ორფაქტორიანი ავთენტიფიკაციის სერვერი

დღეს მსურს გაგიზიაროთ როგორ დავაყენოთ ორფაქტორიანი ავტორიზაციის სერვერი თქვენი კორპორატიული ქსელის, ვებსაიტების, სერვისების, ssh-ის დასაცავად. სერვერი იმუშავებს შემდეგ კომბინაციას: LinOTP + FreeRadius.

რატომ გვჭირდება ის?
ეს არის სრულიად უფასო, მოსახერხებელი გადაწყვეტა, საკუთარ ქსელში, მესამე მხარის პროვაიდერებისგან დამოუკიდებელი.

ეს სერვისი არის ძალიან მოსახერხებელი, საკმაოდ ვიზუალური, განსხვავებით სხვა ღია კოდის პროდუქტებისგან და ასევე მხარს უჭერს უამრავ ფუნქციას და პოლიტიკას (მაგალითად, შესვლა+პაროლი+(PIN+OTPToken)). API-ს მეშვეობით ის აერთიანებს sms-ის გაგზავნის სერვისებს (LinOTP Config-> Provider Config->SMS Provider), აგენერირებს კოდებს მობილური აპლიკაციებისთვის, როგორიცაა Google Authentificator და მრავალი სხვა. ვფიქრობ, ეს უფრო მოსახერხებელია, ვიდრე განხილული სერვისი მუხლი.

ეს სერვერი მშვენივრად მუშაობს Cisco ASA-სთან, OpenVPN სერვერთან, Apache2-თან და ზოგადად თითქმის ყველაფერთან, რაც მხარს უჭერს ავთენტიფიკაციას RADIUS სერვერის საშუალებით (მაგალითად, SSH მონაცემთა ცენტრში).

საჭიროა:

1) Debian 8 (ჯესი) - რა თქმა უნდა! (საცდელი ინსტალაცია Debian 9-ზე აღწერილია სტატიის ბოლოს)

დაწყება დრო:

Debian 8-ის ინსტალაცია.

დაამატეთ LinOTP საცავი:

# echo 'deb http://www.linotp.org/apt/debian jessie linotp' > /etc/apt/sources.list.d/linotp.list

გასაღებების დამატება:

# gpg --search-keys 913DFF12F86258E5

ზოგჯერ "სუფთა" ინსტალაციის დროს, ამ ბრძანების გაშვების შემდეგ, Debian აჩვენებს:

gpg: создан каталог `/root/.gnupg'
gpg: создан новый файл настроек `/root/.gnupg/gpg.conf'
gpg: ВНИМАНИЕ: параметры в `/root/.gnupg/gpg.conf' еще не активны при этом запуске
gpg: создана таблица ключей `/root/.gnupg/secring.gpg'
gpg: создана таблица ключей `/root/.gnupg/pubring.gpg'
gpg: не заданы серверы ключей (используйте --keyserver)
gpg: сбой при поиске на сервере ключей: плохой URI

ეს არის საწყისი gnupg დაყენება. Ყველაფერი კარგადაა. უბრალოდ კვლავ გაუშვით ბრძანება.
Debian-ის კითხვაზე:

gpg: поиск "913DFF12F86258E5" на hkp сервере keys.gnupg.net
(1)	LSE LinOTP2 Packaging <[email protected]>
	  2048 bit RSA key F86258E5, создан: 2010-05-10
Keys 1-1 of 1 for "913DFF12F86258E5".  Введите числа, N) Следующий или Q) Выход>

ჩვენ ვპასუხობთ: 1

შემდეგი:

# gpg --export 913DFF12F86258E5 | apt-key add -

# apt-get update

დააინსტალირეთ mysql. თეორიულად, შეგიძლიათ გამოიყენოთ სხვა sql სერვერი, მაგრამ სიმარტივისთვის გამოვიყენებ მას, როგორც რეკომენდებულია LinOTP-სთვის.

(დამატებითი ინფორმაცია, მათ შორის LinOTP მონაცემთა ბაზის ხელახალი კონფიგურაცია, შეგიძლიათ იხილოთ ოფიციალურ დოკუმენტაციაში ლინკები. იქ ასევე შეგიძლიათ იპოვოთ ბრძანება: dpkg-reconfigure linotp პარამეტრების შესაცვლელად, თუ უკვე დაინსტალირებული გაქვთ mysql).

# apt-get install mysql-server

# apt-get update

(განახლებების ხელახლა გადამოწმება არ იქნება ცუდი)
დააინსტალირეთ LinOTP და დამატებითი მოდულები:

# apt-get install linotp

ჩვენ ვპასუხობთ ინსტალერის კითხვებს:
გამოიყენეთ Apache2: დიახ
შექმენით პაროლი ადმინისტრატორისთვის Linotp: "თქვენი პაროლი"
თავად ხელმოწერილი სერთიფიკატის გენერირება?: კი
გამოიყენეთ MySQL?: დიახ
სად მდებარეობს მონაცემთა ბაზა: localhost
შექმენით LinOTP მონაცემთა ბაზა (ბაზის სახელი) სერვერზე: LinOTP2
შექმენით ცალკე მომხმარებელი მონაცემთა ბაზისთვის: LinOTP2
ჩვენ დავაყენეთ პაროლი მომხმარებლისთვის: "თქვენი პაროლი"
ახლავე შევქმნა მონაცემთა ბაზა? (რაღაც "დარწმუნებული ხარ, რომ გინდა..."): დიახ
შეიყვანეთ MySQL root პაროლი, რომელიც შექმენით მისი ინსტალაციისას: „YourPassword“
შესრულებულია.

(სურვილისამებრ, თქვენ არ გჭირდებათ მისი ინსტალაცია)

# apt-get install linotp-adminclient-cli 

(სურვილისამებრ, თქვენ არ გჭირდებათ მისი ინსტალაცია)

# apt-get install libpam-linotp  

ასე რომ, ჩვენი Linotp ვებ ინტერფეისი ახლა ხელმისაწვდომია:

"<b>https</b>: //IP_сервера/manage"

ვებ ინტერფეისის პარამეტრებზე ცოტა მოგვიანებით ვისაუბრებ.

ახლა, ყველაზე მთავარი! ჩვენ ვზრდით FreeRadius-ს და ვუკავშირდებით Linotp-ს.

დააინსტალირეთ FreeRadius და მოდული LinOTP-თან მუშაობისთვის

# apt-get install freeradius linotp-freeradius-perl

შექმენით სარეზერვო კლიენტი და მომხმარებლების რადიუსის კონფიგურაციები.

# mv /etc/freeradius/clients.conf  /etc/freeradius/clients.old

# mv /etc/freeradius/users  /etc/freeradius/users.old

შექმენით ცარიელი კლიენტის ფაილი:

# touch /etc/freeradius/clients.conf

ჩვენი ახალი კონფიგურაციის ფაილის რედაქტირება (სარეზერვო კონფიგურაცია შეიძლება გამოყენებულ იქნას როგორც მაგალითი)

# nano /etc/freeradius/clients.conf

client 192.168.188.0/24 {
secret  = passwd # пароль для подключения клиентов
}

შემდეგი, შექმენით მომხმარებლის ფაილი:

# touch /etc/freeradius/users

ჩვენ ვასწორებთ ფაილს და ვეუბნებით რადიუსს, რომ ავტორიზაციისთვის გამოვიყენებთ perl-ს.

# nano /etc/freeradius/users

DEFAULT Auth-type := perl

შემდეგი, შეცვალეთ ფაილი /etc/freeradius/modules/perl

# nano /etc/freeradius/modules/perl

ჩვენ უნდა მივუთითოთ perl linotp სკრიპტის გზა მოდულის პარამეტრში:

Perl { .......
.........
<source lang="bash">module = /usr/lib/linotp/radius_linotp.pm

... ..
შემდეგი, ჩვენ ვქმნით ფაილს, რომელშიც ვამბობთ, რომელ (დომენი, მონაცემთა ბაზა ან ფაილი) უნდა ავიღოთ მონაცემები.

# touch /etc/linotp2/rlm_perl.ini

# nano /etc/linotp2/rlm_perl.ini

URL=https://IP_вашего_LinOTP_сервера(192.168.X.X)/validate/simplecheck
REALM=webusers1c
RESCONF=LocalUser
Debug=True
SSL_CHECK=False

აქ ცოტა უფრო დეტალურად შევალ, რადგან მნიშვნელოვანია:

ფაილის სრული აღწერა კომენტარებით:
linOTP სერვერის #IP (ჩვენი LinOTP სერვერის IP მისამართი)
URL=https://172.17.14.103/validate/simplecheck
#ჩვენი ტერიტორია, რომელსაც შევქმნით LinOTP ვებ ინტერფეისში.)
REALM=ხელი1
#მომხმარებელთა ჯგუფის სახელი, რომელიც იქმნება LinOTP ვებ muzzle-ში.
RESCONF = ბინა_ფაილი
#არასავალდებულო: კომენტარი გააკეთეთ, თუ ყველაფერი კარგად მუშაობს
Debug=True
#არასავალდებულო: გამოიყენეთ ეს, თუ თქვენ გაქვთ ხელმოწერილი სერთიფიკატები, წინააღმდეგ შემთხვევაში გააკეთეთ კომენტარი (SSL თუ ჩვენ ვქმნით საკუთარ სერტიფიკატს და გვინდა მისი გადამოწმება)
SSL_CHECK=მცდარი

შემდეგ შექმენით ფაილი /etc/freeradius/sites-available/linotp

# touch /etc/freeradius/sites-available/linotp

# nano /etc/freeradius/sites-available/linotp

და დააკოპირეთ კონფიგურაცია მასში (არ არის საჭირო არაფრის რედაქტირება):

authorize {
#normalizes maleformed client request before handed on to other modules (see '/etc/freeradius/modules/preprocess')
preprocess
#  If you are using multiple kinds of realms, you probably
#  want to set "ignore_null = yes" for all of them.
#  Otherwise, when the first style of realm doesn't match,
#  the other styles won't be checked.
#allows a list of realm (see '/etc/freeradius/modules/realm')
IPASS
#understands something like USER@REALM and can tell the components apart (see '/etc/freeradius/modules/realm')
suffix
#understands USERREALM and can tell the components apart (see '/etc/freeradius/modules/realm')
ntdomain
#  Read the 'users' file to learn about special configuration which should be applied for
# certain users (see '/etc/freeradius/modules/files')
files
# allows to let authentification to expire (see '/etc/freeradius/modules/expiration')
expiration
# allows to define valid service-times (see '/etc/freeradius/modules/logintime')
logintime
# We got no radius_shortname_map!
pap
}
#here the linotp perl module is called for further processing
authenticate {
perl
}

შემდეგ ჩვენ შევქმნით SIM ბმულს:

# ln -s ../sites-available/linotp /etc/freeradius/sites-enabled

პირადად მე ვკლავ რადიუსის ნაგულისხმევ საიტებს, მაგრამ თუ დაგჭირდებათ, შეგიძლიათ ან შეცვალოთ მათი კონფიგურაცია ან გამორთოთ ისინი.

# rm /etc/freeradius/sites-enabled/default

# rm /etc/freeradius/sites-enabled/inner-tunnel

# service freeradius reload

ახლა დავუბრუნდეთ ვებ სახეს და შევხედოთ მას ცოტა უფრო დეტალურად:
ზედა მარჯვენა კუთხეში დააჭირეთ LinOTP Config -> UserIdResolvers -> New
ჩვენ ვირჩევთ იმას, რაც გვინდა: LDAP (AD win, LDAP samba) ან SQL, ან Flatfile სისტემის ლოკალური მომხმარებლები.

შეავსეთ საჭირო ველები.

შემდეგ ჩვენ ვქმნით REALMS:
ზედა მარჯვენა კუთხეში დააწკაპუნეთ LinOTP Config -> Realms -> New.
და მიეცით სახელი ჩვენს REALMS-ს და ასევე დააწკაპუნეთ ადრე შექმნილ UserIdResolvers-ზე.

FreeRadius-ს სჭირდება ყველა ეს მონაცემი /etc/linotp2/rlm_perl.ini ფაილში, როგორც ზემოთ დავწერე, ასე რომ, თუ მაშინ არ დაარედაქტირეთ, გააკეთეთ ახლა.

სერვერი კონფიგურირებულია.

დანართი:

LinOTP-ის დაყენება Debian 9-ზე:

Установка:

# echo 'deb http://linotp.org/apt/debian stretch linotp' > /etc/apt/sources.list.d/linotp.list 

# apt-get install dirmngr

# apt-key adv --recv-keys 913DFF12F86258E5

# apt-get update

# apt-get install mysql-server

(ნაგულისხმევად, Debian 9-ში mysql (mariaDB) არ გვთავაზობს root პაროლის დაყენებას, რა თქმა უნდა, შეგიძლიათ დატოვოთ იგი ცარიელი, მაგრამ თუ ახალ ამბებს წაიკითხავთ, ეს ძალიან ხშირად იწვევს "epic fails", ამიტომ ჩვენ დავაყენებთ მას მაინც)

# mysql -u root -p

use mysql;

UPDATE user SET Password = PASSWORD('тут_пароль') WHERE User = 'root';

exit

# apt-get install linotp

# apt-get install linotp-adminclient-cli

# apt-get install python-ldap

# apt install freeradius

# nano /etc/freeradius/3.0/sites-enabled/linotp

ჩასვით კოდი (JuriM-ის მიერ გამოგზავნილი, მადლობა მას ამისთვის!):

სერვერი linotp {
მოუსმინე {
ipaddr = *
პორტი = 1812
type=auth
}
მოუსმინე {
ipaddr = *
პორტი = 1813
ტიპი = აქტ
}
ავტორიზაცია {
წინასწარი პროცესი
განახლება {
&control:Auth-Type := Perl
}
}
ავთენტიფიკაცია {
Auth-Type Perl {
perl
}
}
აღრიცხვა {
unix
}
}

რედაქტირება /etc/freeradius/3.0/mods-enabled/perl

პერლი {
ფაილის სახელი = /usr/share/linotp/radius_linotp.pm
func_authenticate = ავთენტიფიკაცია
func_authorize = ავტორიზაცია
}

სამწუხაროდ, Debian 9-ში radius_linotp.pm ბიბლიოთეკა არ არის დაინსტალირებული საცავებიდან, ამიტომ მას ავიღებთ github-დან.

# apt install git

# git clone https://github.com/LinOTP/linotp-auth-freeradius-perl

# cd linotp-auth-freeradius-perl/

# cp radius_linotp.pm /usr/share/linotp/radius_linotp.pm

ახლა მოდით დაარედაქტიროთ /etc/freeradius/3.0/clients.conf

კლიენტის სერვერები {
ipaddr = 192.168.188.0/24
საიდუმლო = თქვენი პაროლი
}

ახლა გავასწოროთ nano /etc/linotp2/rlm_perl.ini

ჩვენ იქ ჩავსვით იგივე კოდი, როგორც debian 8-ზე ინსტალაციისას (ზემოთ აღწერილი)

ეს ყველაფერი იდეის მიხედვით. (ჯერ არ არის გამოცდილი)

ქვემოთ დავტოვებ რამდენიმე ბმულს სისტემების დაყენების შესახებ, რომლებიც ყველაზე ხშირად უნდა იყოს დაცული ორფაქტორიანი ავთენტიფიკაციით:
ორფაქტორიანი ავთენტიფიკაციის დაყენება Apache2

დაყენება Cisco ASA-სთან ერთად(იქ გამოიყენება სხვადასხვა ნიშნის თაობის სერვერი, მაგრამ თავად ASA-ს პარამეტრები იგივეა).

VPN ორფაქტორიანი ავთენტიფიკაციით

რეგულირება ორი ფაქტორიანი ავთენტიფიკაცია ssh-ში (LinOTP იქაც გამოიყენება) - მადლობა ავტორს. აქ ასევე შეგიძლიათ იპოვოთ საინტერესო რამ LiOTP პოლიტიკის დაყენების შესახებ.

ასევე, მრავალი საიტის cms მხარს უჭერს ორფაქტორიან ავთენტიფიკაციას (WordPres-ისთვის LinOTP-ს აქვს საკუთარი სპეციალური მოდულიც კი. გითუბი), მაგალითად, თუ გსურთ შექმნათ დაცული განყოფილება თქვენს კორპორატიულ ვებსაიტზე კომპანიის თანამშრომლებისთვის.
მნიშვნელოვანი ფაქტი! არ მონიშნოთ „Google autenteficator“ ველი Google Authenticator-ის გამოსაყენებლად! QR კოდი არ იკითხება მაშინ... (უცნაური ფაქტი)

ამ სტატიის დასაწერად გამოყენებული იქნა ინფორმაცია შემდეგი სტატიებიდან:
itnan.ru/post.php?c=1&p=270571
www.digitalbears.net/?p=469

მადლობა ავტორებს.

წყარო: www.habr.com