Telegram 봇을 사용한 OpenVPN의 XNUMX단계 인증

이 기사에서는 연결 시 확인 요청을 보내는 Telegram 봇으로 XNUMX단계 인증을 활성화하기 위해 OpenVPN 서버를 설정하는 방법을 설명합니다.

OpenVPN은 내부 조직 리소스에 대한 직원의 보안 액세스를 구성하는 데 널리 사용되는 잘 알려진 무료 오픈 소스 VPN 서버입니다.

VPN 서버에 연결하기 위한 인증으로는 일반적으로 키와 사용자 로그인/비밀번호의 조합이 사용됩니다. 동시에 클라이언트에 저장된 비밀번호는 전체 세트를 적절한 보안 수준을 제공하지 않는 단일 요소로 만듭니다. 클라이언트 컴퓨터에 대한 액세스 권한을 얻은 공격자는 VPN 서버에도 액세스할 수 있습니다. 이는 특히 Windows를 실행하는 컴퓨터에서 연결하는 경우에 해당됩니다.

두 번째 요소를 사용하면 무단 액세스 위험이 99% 감소하고 사용자의 연결 프로세스가 전혀 복잡해지지 않습니다.

지금 바로 예약하겠습니다. 구현을 위해서는 필요에 따라 무료 관세를 사용할 수 있는 타사 인증 서버 multifactor.ru에 연결해야 합니다.

운영 원칙

1. OpenVPN은 인증을 위해 openvpn-plugin-auth-pam 플러그인을 사용합니다.
2. 플러그인은 서버에서 사용자의 비밀번호를 확인하고 Multifactor 서비스의 RADIUS 프로토콜을 통해 두 번째 요소를 요청합니다.
3. Multifactor는 Telegram 봇을 통해 사용자에게 액세스를 확인하는 메시지를 보냅니다.
4. 사용자는 텔레그램 채팅에서 액세스 요청을 확인하고 VPN에 연결합니다.

OpenVPN 서버 설치

OpenVPN 설치 및 구성 과정을 설명하는 기사가 인터넷에 많이 있으므로 중복되지는 않습니다. 도움이 필요하면 기사 끝 부분에 튜토리얼에 대한 여러 링크가 있습니다.

다단계 설정

이동 다단계 제어 시스템, "리소스" 섹션으로 이동하여 새 VPN을 생성하세요.
일단 생성되면 다음 두 가지 옵션을 사용할 수 있습니다. NAS 식별자 и 공유 비밀, 후속 구성에 필요합니다.

"그룹" 섹션에서 "모든 사용자" 그룹 설정으로 이동하여 "모든 리소스" 플래그를 제거하면 특정 그룹의 사용자만 VPN 서버에 연결할 수 있습니다.

새 그룹 "VPN 사용자"를 생성하고 텔레그램을 제외한 모든 인증 방법을 비활성화하고 사용자가 생성된 VPN 리소스에 액세스할 수 있음을 나타냅니다.

"사용자" 섹션에서 VPN에 액세스할 사용자를 생성하고 "VPN 사용자" 그룹에 추가한 후 두 번째 인증 요소를 구성하기 위한 링크를 보냅니다. 사용자 로그인은 VPN 서버의 로그인과 일치해야 합니다.

OpenVPN 서버 설정

파일 열기 /etc/openvpn/server.conf PAM 모듈을 사용하여 인증을 위한 플러그인을 추가합니다.

plugin /usr/lib64/openvpn/plugins/openvpn-plugin-auth-pam.so openvpn

플러그인은 디렉토리에 위치할 수 있습니다. /usr/lib/openvpn/플러그인/ 또는 /usr/lib64/openvpn/플러그인/ 귀하의 시스템에 따라.

다음으로 pam_radius_auth 모듈을 설치해야 합니다.

$ sudo yum install pam_radius

편집할 파일을 엽니다. /etc/pam_radius.conf Multifactor의 RADIUS 서버 주소를 지정합니다.

radius.multifactor.ru   shared_secret   40

지역 :

• radius.multifactor.ru — 서버 주소
• shared_secret - 해당 VPN 설정 매개변수에서 복사합니다.
• 40초 - 여유가 큰 요청 대기 시간 초과

나머지 서버는 삭제하거나 주석 처리해야 합니다. (처음에 세미콜론을 입력하세요.)

다음으로 서비스 유형 openvpn에 대한 파일을 만듭니다.

$ sudo vi /etc/pam.d/openvpn

그리고 그걸 쓰세요

auth    required pam_radius_auth.so skip_passwd client_id=[NAS-IDentifier]
auth    substack     password-auth
account substack     password-auth

첫 번째 줄은 PAM 모듈 pam_radius_auth를 매개변수와 연결합니다:

• Skip_passwd - RADIUS Multifactor 서버로의 사용자 비밀번호 전송을 비활성화합니다(알 필요가 없음).
• client_id — [NAS-Identifier]를 VPN 리소스 설정의 해당 매개변수로 바꿉니다.
  가능한 모든 매개변수는 다음에 설명되어 있습니다. 모듈에 대한 문서.

두 번째 및 세 번째 줄에는 두 번째 인증 요소와 함께 서버의 로그인, 비밀번호 및 사용자 권한에 대한 시스템 확인이 포함됩니다.

OpenVPN 다시 시작

$ sudo systemctl restart openvpn@server

클라이언트 설정

클라이언트 구성 파일에 사용자 로그인 및 비밀번호에 대한 요청을 포함합니다.

auth-user-pass

Проверка

OpenVPN 클라이언트를 실행하고 서버에 연결한 후 사용자 이름과 비밀번호를 입력하세요. 텔레그램 봇은 두 개의 버튼이 있는 액세스 요청을 보냅니다.

하나의 버튼은 액세스를 허용하고 두 번째 버튼은 차단합니다.

이제 클라이언트에 비밀번호를 안전하게 저장할 수 있으며, 두 번째 요소는 무단 액세스로부터 OpenVPN 서버를 안정적으로 보호합니다.

뭔가 작동하지 않는 경우

누락된 항목이 없는지 순차적으로 확인하세요.

• 비밀번호가 설정된 OpenVPN을 사용하는 서버에 사용자가 있습니다
• 서버는 UDP 포트 1812를 통해 radius.multifactor.ru 주소에 액세스할 수 있습니다.
• NAS 식별자 및 공유 비밀 매개변수가 올바르게 지정되었습니다.
• 동일한 로그인을 가진 사용자가 Multifactor 시스템에서 생성되었으며 VPN 사용자 그룹에 대한 액세스 권한이 부여되었습니다.
• 사용자가 텔레그램을 통해 인증 방법을 구성했습니다.

이전에 OpenVPN을 설정한 적이 없다면 다음 내용을 읽어보세요. 확장 기사.

지침은 CentOS 7의 예제로 작성되었습니다.

출처 : habr.com