ការផ្ទៀងផ្ទាត់កត្តាពីរនៅក្នុង OpenVPN ជាមួយ Telegram bot

អត្ថបទពិពណ៌នាអំពីការដំឡើងម៉ាស៊ីនមេ OpenVPN ដើម្បីបើកការផ្ទៀងផ្ទាត់ពីរកត្តាជាមួយ Telegram bot ដែលនឹងផ្ញើសំណើបញ្ជាក់នៅពេលភ្ជាប់។

OpenVPN គឺជាម៉ាស៊ីនមេ VPN ប្រភពបើកចំហដ៏ល្បី ឥតគិតថ្លៃ ដែលត្រូវបានប្រើប្រាស់យ៉ាងទូលំទូលាយដើម្បីរៀបចំការចូលប្រើប្រាស់បុគ្គលិកប្រកបដោយសុវត្ថិភាពទៅកាន់ធនធានផ្ទៃក្នុងរបស់ស្ថាប័ន។

ជា​ការ​ផ្ទៀងផ្ទាត់​ភាព​ត្រឹមត្រូវ​សម្រាប់​ការ​តភ្ជាប់​ទៅ​ម៉ាស៊ីន​បម្រើ VPN ការ​រួម​បញ្ចូល​គ្នា​នៃ​គន្លឹះ​មួយ​និង​ការ​ចូល​ដោយ​អ្នក​ប្រើ / ពាក្យ​សម្ងាត់​ត្រូវ​បាន​ប្រើ​ជា​ធម្មតា​។ ក្នុងពេលជាមួយគ្នានេះ ពាក្យសម្ងាត់ដែលរក្សាទុកនៅលើម៉ាស៊ីនភ្ញៀវប្រែសំណុំទាំងមូលទៅជាកត្តាតែមួយដែលមិនផ្តល់កម្រិតសុវត្ថិភាពត្រឹមត្រូវ។ អ្នកវាយប្រហារដែលមានសិទ្ធិចូលប្រើកុំព្យូទ័រអតិថិជន ក៏ទទួលបានសិទ្ធិចូលប្រើម៉ាស៊ីនមេ VPN ផងដែរ។ នេះជាការពិតជាពិសេសសម្រាប់ការតភ្ជាប់ពីម៉ាស៊ីនដែលដំណើរការវីនដូ។

ការប្រើប្រាស់កត្តាទីពីរកាត់បន្ថយហានិភ័យនៃការចូលដោយគ្មានការអនុញ្ញាត 99% និងមិនធ្វើឱ្យស្មុគស្មាញដល់ដំណើរការតភ្ជាប់សម្រាប់អ្នកប្រើប្រាស់ទាល់តែសោះ។

អនុញ្ញាតឱ្យខ្ញុំធ្វើការកក់ទុកភ្លាមៗ៖ សម្រាប់ការអនុវត្ត អ្នកនឹងត្រូវភ្ជាប់ម៉ាស៊ីនមេ multifactor.ru ការផ្ទៀងផ្ទាត់ភាគីទីបី ដែលអ្នកអាចប្រើតម្លៃឥតគិតថ្លៃសម្រាប់តម្រូវការរបស់អ្នក។

របៀបដែលវាធ្វើការ

1. OpenVPN ប្រើកម្មវិធីជំនួយ openvpn-plugin-auth-pam សម្រាប់ការផ្ទៀងផ្ទាត់
2. កម្មវិធីជំនួយពិនិត្យពាក្យសម្ងាត់របស់អ្នកប្រើនៅលើម៉ាស៊ីនមេ ហើយស្នើសុំកត្តាទីពីរតាមរយៈពិធីការ RADIUS នៅក្នុងសេវាកម្ម Multifactor
3. Multifactor ផ្ញើសារទៅកាន់អ្នកប្រើប្រាស់តាមរយៈ Telegram bot បញ្ជាក់ពីការចូលប្រើ
4. អ្នកប្រើប្រាស់បញ្ជាក់ការស្នើសុំចូលប្រើនៅក្នុងការជជែកតាម Telegram ហើយភ្ជាប់ទៅ VPN

ការដំឡើងម៉ាស៊ីនមេ OpenVPN

មានអត្ថបទជាច្រើននៅលើអ៊ីនធឺណិតដែលពិពណ៌នាអំពីដំណើរការនៃការដំឡើង និងកំណត់រចនាសម្ព័ន្ធ OpenVPN ដូច្នេះយើងនឹងមិនចម្លងពួកវាទេ។ ប្រសិនបើអ្នកត្រូវការជំនួយ មានតំណភ្ជាប់ជាច្រើនទៅកាន់ការបង្រៀននៅចុងបញ្ចប់នៃអត្ថបទ។

ការដំឡើង Multifactor

ទៅ ប្រព័ន្ធគ្រប់គ្រងពហុកត្តាចូលទៅកាន់ផ្នែក "ធនធាន" ហើយបង្កើត VPN ថ្មី។
នៅពេលបង្កើតរួច អ្នកនឹងមានជម្រើសពីរដែលអាចរកបានសម្រាប់អ្នក៖ NAS-អ្នកកំណត់អត្តសញ្ញាណ и ចែករំលែកអាថ៌កំបាំងពួកវានឹងត្រូវបានទាមទារសម្រាប់ការកំណត់រចនាសម្ព័ន្ធជាបន្តបន្ទាប់។

នៅក្នុងផ្នែក "ក្រុម" សូមចូលទៅកាន់ការកំណត់ក្រុម "អ្នកប្រើប្រាស់ទាំងអស់" ហើយលុបទង់ "ធនធានទាំងអស់" ដូច្នេះមានតែអ្នកប្រើប្រាស់នៃក្រុមជាក់លាក់ប៉ុណ្ណោះដែលអាចភ្ជាប់ទៅម៉ាស៊ីនមេ VPN បាន។

បង្កើតក្រុមថ្មី "អ្នកប្រើប្រាស់ VPN" បិទវិធីសាស្ត្រផ្ទៀងផ្ទាត់ទាំងអស់ លើកលែងតែ Telegram ហើយបង្ហាញថាអ្នកប្រើប្រាស់មានសិទ្ធិចូលប្រើធនធាន VPN ដែលបានបង្កើតឡើង។

នៅក្នុងផ្នែក "អ្នកប្រើប្រាស់" បង្កើតអ្នកប្រើប្រាស់ដែលនឹងមានសិទ្ធិចូលប្រើ VPN បន្ថែមពួកគេទៅក្នុងក្រុម "អ្នកប្រើប្រាស់ VPN" ហើយផ្ញើឱ្យពួកគេនូវតំណភ្ជាប់ដើម្បីកំណត់រចនាសម្ព័ន្ធកត្តាទីពីរនៃការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ។ ការចូលរបស់អ្នកប្រើត្រូវតែផ្គូផ្គងការចូលនៅលើម៉ាស៊ីនមេ VPN ។

ការដំឡើងម៉ាស៊ីនមេ OpenVPN

បើកឯកសារ /etc/openvpn/server.conf ហើយបន្ថែមកម្មវិធីជំនួយសម្រាប់ការផ្ទៀងផ្ទាត់ដោយប្រើម៉ូឌុល PAM

plugin /usr/lib64/openvpn/plugins/openvpn-plugin-auth-pam.so openvpn

កម្មវិធីជំនួយអាចមានទីតាំងនៅក្នុងថត /usr/lib/openvpn/plugins/ ឬ /usr/lib64/openvpn/plugins/ អាស្រ័យលើប្រព័ន្ធរបស់អ្នក។

បន្ទាប់អ្នកត្រូវដំឡើងម៉ូឌុល pam_radius_auth

$ sudo yum install pam_radius

បើកឯកសារសម្រាប់កែសម្រួល /etc/pam_radius.conf ហើយបញ្ជាក់អាសយដ្ឋានរបស់ម៉ាស៊ីនមេ RADIUS នៃ Multifactor

radius.multifactor.ru   shared_secret   40

ដែលជាកន្លែង:

• radius.multifactor.ru — អាសយដ្ឋានម៉ាស៊ីនមេ
• shared_secret - ចម្លងពីប៉ារ៉ាម៉ែត្រការកំណត់ VPN ដែលត្រូវគ្នា។
• 40 វិនាទី - អស់ពេលសម្រាប់ការរង់ចាំការស្នើសុំដែលមានរឹមធំ

ម៉ាស៊ីនមេដែលនៅសល់ត្រូវតែត្រូវបានលុប ឬបញ្ចេញមតិ (ដាក់សញ្ញាក្បៀសនៅដើម)

បន្ទាប់មកបង្កើតឯកសារសម្រាប់ប្រភេទសេវាកម្ម openvpn

$ sudo vi /etc/pam.d/openvpn

ហើយសរសេរវាចូល

auth    required pam_radius_auth.so skip_passwd client_id=[NAS-IDentifier]
auth    substack     password-auth
account substack     password-auth

បន្ទាត់ទីមួយភ្ជាប់ម៉ូឌុល PAM pam_radius_auth ជាមួយនឹងប៉ារ៉ាម៉ែត្រ៖

• skip_passwd - បិទការបញ្ជូនពាក្យសម្ងាត់របស់អ្នកប្រើទៅកាន់ម៉ាស៊ីនមេ RADIUS Multifactor (គាត់មិនចាំបាច់ដឹងវាទេ)។
• client_id — ជំនួស [NAS-Identifier] ជាមួយនឹងប៉ារ៉ាម៉ែត្រដែលត្រូវគ្នាពីការកំណត់ធនធាន VPN ។
  ប៉ារ៉ាម៉ែត្រដែលអាចធ្វើបានទាំងអស់ត្រូវបានពិពណ៌នានៅក្នុង ឯកសារសម្រាប់ម៉ូឌុល.

បន្ទាត់ទីពីរ និងទីបីរួមមានការផ្ទៀងផ្ទាត់ប្រព័ន្ធនៃការចូល ពាក្យសម្ងាត់ និងសិទ្ធិអ្នកប្រើប្រាស់នៅលើម៉ាស៊ីនមេរបស់អ្នក រួមជាមួយនឹងកត្តាផ្ទៀងផ្ទាត់ទីពីរ។

ចាប់ផ្ដើម OpenVPN ឡើងវិញ

$ sudo systemctl restart openvpn@server

ការដំឡើងអតិថិជន

រួមបញ្ចូលសំណើសម្រាប់ការចូលរបស់អ្នកប្រើ និងពាក្យសម្ងាត់នៅក្នុងឯកសារកំណត់រចនាសម្ព័ន្ធម៉ាស៊ីនភ្ញៀវ

auth-user-pass

ការត្រួតពិនិត្យ

បើកដំណើរការកម្មវិធី OpenVPN ភ្ជាប់ទៅម៉ាស៊ីនមេ បញ្ចូលឈ្មោះអ្នកប្រើប្រាស់ និងពាក្យសម្ងាត់របស់អ្នក។ Telegram bot នឹងផ្ញើសំណើចូលប្រើដោយប៊ូតុងពីរ

ប៊ូតុងមួយអនុញ្ញាតឱ្យចូលប្រើ ទីពីររារាំងវា។

ឥឡូវនេះអ្នកអាចរក្សាទុកពាក្យសម្ងាត់របស់អ្នកដោយសុវត្ថិភាពនៅលើម៉ាស៊ីនភ្ញៀវ កត្តាទីពីរនឹងការពារម៉ាស៊ីនមេ OpenVPN របស់អ្នកយ៉ាងជឿជាក់ពីការចូលប្រើដោយគ្មានការអនុញ្ញាត។

ប្រសិនបើមានអ្វីមួយមិនដំណើរការ

ពិនិត្យមើលជាបន្តបន្ទាប់ថាអ្នកមិនបានខកខានអ្វីទាំងអស់៖

• មានអ្នកប្រើប្រាស់នៅលើម៉ាស៊ីនមេជាមួយ OpenVPN ជាមួយនឹងការកំណត់ពាក្យសម្ងាត់
• ម៉ាស៊ីនមេមានសិទ្ធិចូលប្រើតាមរយៈច្រក UDP 1812 ទៅកាន់អាសយដ្ឋាន radius.multifactor.ru
• ប៉ារ៉ាម៉ែត្រ NAS-Identifier និង Shared Secret ត្រូវបានបញ្ជាក់យ៉ាងត្រឹមត្រូវ។
• អ្នកប្រើប្រាស់ដែលមានការចូលដូចគ្នាត្រូវបានបង្កើតនៅក្នុងប្រព័ន្ធ Multifactor ហើយត្រូវបានអនុញ្ញាតឱ្យចូលប្រើក្រុមអ្នកប្រើប្រាស់ VPN
• អ្នកប្រើប្រាស់បានកំណត់រចនាសម្ព័ន្ធវិធីសាស្ត្រផ្ទៀងផ្ទាត់តាមរយៈ Telegram

ប្រសិនបើអ្នកមិនបានដំឡើង OpenVPN ពីមុនទេ សូមអាន អត្ថបទលម្អិត.

ការណែនាំត្រូវបានធ្វើឡើងជាមួយនឹងឧទាហរណ៍នៅលើ CentOS 7 ។

ប្រភព: www.habr.com