ເຊີບເວີການພິສູດຢືນຢັນສອງປັດໃຈ LinOTP

ມື້ນີ້ຂ້ອຍຢາກແບ່ງປັນວິທີການຕັ້ງຄ່າເຄື່ອງແມ່ຂ່າຍການກວດສອບສອງປັດໃຈເພື່ອປົກປ້ອງເຄືອຂ່າຍຂອງບໍລິສັດ, ສະຖານທີ່, ບໍລິການ, ssh. ເຄື່ອງແມ່ຂ່າຍຈະດໍາເນີນການປະສົມປະສານດັ່ງຕໍ່ໄປນີ້: LinOTP + FreeRadius.

ເປັນຫຍັງພວກເຮົາຕ້ອງການມັນ?
ນີ້​ແມ່ນ​ເປັນ​ການ​ແກ້​ໄຂ​ຟຣີ​ຫມົດ​, ສະ​ດວກ​, ພາຍ​ໃນ​ເຄືອ​ຂ່າຍ​ຂອງ​ຕົນ​, ເປັນ​ເອ​ກະ​ລາດ​ຂອງ​ຜູ້​ໃຫ້​ບໍ​ລິ​ພາກ​ສ່ວນ​ທີ​ສາມ​.

ການບໍລິການນີ້ແມ່ນສະດວກຫຼາຍ, ຂ້ອນຂ້າງເປັນຕາ, ບໍ່ເຫມືອນກັບຜະລິດຕະພັນແຫຼ່ງເປີດອື່ນໆ, ແລະຍັງສະຫນັບສະຫນູນຈໍານວນຫລາຍຂອງຫນ້າທີ່ແລະນະໂຍບາຍ (ຕົວຢ່າງເຊັ່ນ, ເຂົ້າສູ່ລະບົບ + ລະຫັດຜ່ານ + (PIN + OTPToken)). ຜ່ານ API, ມັນປະສົມປະສານກັບການບໍລິການສົ່ງ sms (LinOTP Config->Provider Config->SMS Provider), ສ້າງລະຫັດສໍາລັບແອັບພລິເຄຊັນມືຖືເຊັ່ນ Google Authentificator ແລະອື່ນໆອີກ. ຂ້າພະເຈົ້າຄິດວ່າມັນສະດວກກວ່າການບໍລິການທີ່ສົນທະນາຢູ່ໃນ ບົດຄວາມ.

ເຊີບເວີນີ້ເຮັດວຽກຢ່າງສົມບູນແບບກັບ Cisco ASA, OpenVPN server, Apache2, ແລະໂດຍທົ່ວໄປແລ້ວກັບເກືອບທຸກຢ່າງທີ່ສະຫນັບສະຫນູນການກວດສອບຜ່ານເຄື່ອງແມ່ຂ່າຍ RADIUS (ຕົວຢ່າງເຊັ່ນ SSH ໃນສູນຂໍ້ມູນ).

ມັນ ຈຳ ເປັນ:

1) Debian 8 (jessie) - ຈຳເປັນ! (ການທົດລອງການຕິດຕັ້ງໃນ debian 9 ແມ່ນອະທິບາຍໃນຕອນທ້າຍຂອງບົດຄວາມ)

ເລີ່ມຕົ້ນ:

ການຕິດຕັ້ງ Debian 8.

ເພີ່ມ LinOTP repository:

# echo 'deb http://www.linotp.org/apt/debian jessie linotp' > /etc/apt/sources.list.d/linotp.list

ເພີ່ມກະແຈ:

# gpg --search-keys 913DFF12F86258E5

ບາງຄັ້ງໃນລະຫວ່າງການຕິດຕັ້ງ "ສະອາດ", ຫຼັງຈາກແລ່ນຄໍາສັ່ງນີ້, Debian ສະແດງ:

gpg: создан каталог `/root/.gnupg'
gpg: создан новый файл настроек `/root/.gnupg/gpg.conf'
gpg: ВНИМАНИЕ: параметры в `/root/.gnupg/gpg.conf' еще не активны при этом запуске
gpg: создана таблица ключей `/root/.gnupg/secring.gpg'
gpg: создана таблица ключей `/root/.gnupg/pubring.gpg'
gpg: не заданы серверы ключей (используйте --keyserver)
gpg: сбой при поиске на сервере ключей: плохой URI

ນີ້ແມ່ນການຕັ້ງຄ່າ gnupg ເບື້ອງຕົ້ນ. ບໍ່​ເປັນ​ຫຍັງ. ພຽງແຕ່ດໍາເນີນການຄໍາສັ່ງອີກເທື່ອຫນຶ່ງ.
ຕໍ່ຄໍາຖາມຂອງ Debian:

gpg: поиск "913DFF12F86258E5" на hkp сервере keys.gnupg.net
(1)	LSE LinOTP2 Packaging <[email protected]>
	  2048 bit RSA key F86258E5, создан: 2010-05-10
Keys 1-1 of 1 for "913DFF12F86258E5".  Введите числа, N) Следующий или Q) Выход>

ພວກເຮົາຕອບວ່າ: 1

ຕໍ່ໄປ:

# gpg --export 913DFF12F86258E5 | apt-key add -

# apt-get update

ຕິດຕັ້ງ mysql. ໃນທາງທິດສະດີ, ທ່ານສາມາດນໍາໃຊ້ເຄື່ອງແມ່ຂ່າຍ sql ອື່ນ, ແຕ່ສໍາລັບຄວາມງ່າຍດາຍຂ້າພະເຈົ້າຈະໃຊ້ມັນຕາມຄໍາແນະນໍາສໍາລັບ LinOTP.

(ຂໍ້ມູນເພີ່ມເຕີມ, ລວມທັງການປັບຄ່າຖານຂໍ້ມູນ LinOTP, ສາມາດພົບໄດ້ໃນເອກະສານທາງການສໍາລັບ ການເຊື່ອມຕໍ່. ຢູ່ທີ່ນັ້ນທ່ານຍັງສາມາດຊອກຫາຄໍາສັ່ງ: dpkg-reconfigure linotp ເພື່ອປ່ຽນພາລາມິເຕີຖ້າທ່ານໄດ້ຕິດຕັ້ງ mysql ແລ້ວ).

# apt-get install mysql-server

# apt-get update

(ມັນ​ຈະ​ບໍ່​ເຈັບ​ປວດ​ໃນ​ການ​ກວດ​ສອບ​ການ​ປັບ​ປຸງ​ອີກ​ເທື່ອ​ຫນຶ່ງ​)
ຕິດຕັ້ງ LinOTP ແລະໂມດູນເພີ່ມເຕີມ:

# apt-get install linotp

ພວກເຮົາຕອບຄໍາຖາມຂອງຜູ້ຕິດຕັ້ງ:
ໃຊ້ Apache2: ແມ່ນແລ້ວ
ສ້າງລະຫັດຜ່ານສໍາລັບ admin Linotp: "ລະຫັດຜ່ານຂອງເຈົ້າ"
ສ້າງໃບຢັ້ງຢືນການເຊັນດ້ວຍຕົນເອງບໍ?: ແມ່ນ
ໃຊ້ MySQL?: ແມ່ນແລ້ວ
ຖານຂໍ້ມູນຢູ່ໃສ: localhost
ສ້າງຖານຂໍ້ມູນ LinOTP (ຊື່ພື້ນຖານ) ໃນເຄື່ອງແມ່ຂ່າຍ: LinOTP2
ສ້າງຜູ້ໃຊ້ແຍກຕ່າງຫາກສໍາລັບຖານຂໍ້ມູນ: LinOTP2
ພວກເຮົາຕັ້ງລະຫັດຜ່ານສໍາລັບຜູ້ໃຊ້: "ລະຫັດຜ່ານຂອງເຈົ້າ"
ຂ້ອຍຄວນສ້າງຖານຂໍ້ມູນດຽວນີ້ບໍ? (ບາງສິ່ງບາງຢ່າງເຊັ່ນ: "ເຈົ້າຕ້ອງການ ... "): ແມ່ນແລ້ວ
ໃສ່ລະຫັດຜ່ານຮາກ MySQL ທີ່ທ່ານສ້າງຂຶ້ນໃນເວລາຕິດຕັ້ງມັນ: “YourPassword”
ເຮັດແລ້ວ.

(ທາງ​ເລືອກ​, ທ່ານ​ບໍ່​ຈໍາ​ເປັນ​ຕ້ອງ​ຕິດ​ຕັ້ງ​ມັນ​)

# apt-get install linotp-adminclient-cli 

(ທາງ​ເລືອກ​, ທ່ານ​ບໍ່​ຈໍາ​ເປັນ​ຕ້ອງ​ຕິດ​ຕັ້ງ​ມັນ​)

# apt-get install libpam-linotp  

ແລະດັ່ງນັ້ນການໂຕ້ຕອບເວັບ Linotp ຂອງພວກເຮົາແມ່ນມີຢູ່ໃນ:

"<b>https</b>: //IP_сервера/manage"

ຂ້ອຍຈະເວົ້າກ່ຽວກັບການຕັ້ງຄ່າໃນການໂຕ້ຕອບຂອງເວັບເລັກນ້ອຍຕໍ່ມາ.

ໃນປັດຈຸບັນ, ສິ່ງທີ່ສໍາຄັນທີ່ສຸດ! ພວກເຮົາຍົກ FreeRadius ແລະເຊື່ອມຕໍ່ມັນກັບ Linotp.

ຕິດຕັ້ງ FreeRadius ແລະໂມດູນສໍາລັບການເຮັດວຽກກັບ LinOTP

# apt-get install freeradius linotp-freeradius-perl

ສໍາຮອງຂໍ້ມູນລູກຄ້າແລະການຕັ້ງຄ່າ radius ຜູ້ໃຊ້.

# mv /etc/freeradius/clients.conf  /etc/freeradius/clients.old

# mv /etc/freeradius/users  /etc/freeradius/users.old

ສ້າງໄຟລ໌ລູກຄ້າຫວ່າງເປົ່າ:

# touch /etc/freeradius/clients.conf

ການ​ແກ້​ໄຂ​ໄຟລ​໌ config ໃຫມ່​ຂອງ​ພວກ​ເຮົາ (ການ​ສໍາ​ຮອງ​ຂໍ້​ມູນ config ສາ​ມາດ​ນໍາ​ໃຊ້​ເປັນ​ຕົວ​ຢ່າງ​)

# nano /etc/freeradius/clients.conf

client 192.168.188.0/24 {
secret  = passwd # пароль для подключения клиентов
}

ຕໍ່ໄປ, ສ້າງໄຟລ໌ຜູ້ໃຊ້:

# touch /etc/freeradius/users

ພວກເຮົາແກ້ໄຂໄຟລ໌, ບອກ radius ວ່າພວກເຮົາຈະໃຊ້ perl ສໍາລັບການກວດສອບຄວາມຖືກຕ້ອງ.

# nano /etc/freeradius/users

DEFAULT Auth-type := perl

ຕໍ່ໄປ, ແກ້ໄຂໄຟລ໌ /etc/freeradius/modules/perl

# nano /etc/freeradius/modules/perl

ພວກເຮົາຈໍາເປັນຕ້ອງລະບຸເສັ້ນທາງໄປຫາ script perl linotp ໃນພາລາມິເຕີໂມດູນ:

Perl { .......
.........
<source lang="bash">module = /usr/lib/linotp/radius_linotp.pm

... ..
ຕໍ່ໄປ, ພວກເຮົາສ້າງໄຟລ໌ທີ່ພວກເຮົາເວົ້າວ່າ (ໂດເມນ, ຖານຂໍ້ມູນຫຼືໄຟລ໌) ທີ່ຈະເອົາຂໍ້ມູນຈາກ.

# touch /etc/linotp2/rlm_perl.ini

# nano /etc/linotp2/rlm_perl.ini

URL=https://IP_вашего_LinOTP_сервера(192.168.X.X)/validate/simplecheck
REALM=webusers1c
RESCONF=LocalUser
Debug=True
SSL_CHECK=False

ຂ້າພະເຈົ້າຈະເຂົ້າໄປໃນລາຍລະອຽດເພີ່ມເຕີມເລັກນ້ອຍຢູ່ທີ່ນີ້ເພາະວ່າມັນສໍາຄັນ:

ລາຍ​ລະ​ອຽດ​ເຕັມ​ຂອງ​ໄຟລ​໌​ທີ່​ມີ​ຄໍາ​ເຫັນ​:
#IP ຂອງເຊີບເວີ linOTP (ທີ່ຢູ່ IP ຂອງເຊີບເວີ LinOTP ຂອງພວກເຮົາ)
URL=https://172.17.14.103/validate/simplecheck
# ພື້ນທີ່ຂອງພວກເຮົາທີ່ພວກເຮົາຈະສ້າງຢູ່ໃນອິນເຕີເຟດເວັບ LinOTP.)
REALM=ແຂນ1
# ຊື່ຂອງກຸ່ມຜູ້ໃຊ້ທີ່ສ້າງຂຶ້ນໃນ muzzle ເວັບ LinOTP.
RESCONF=flat_file
#ທາງເລືອກ: ອອກຄຳເຫັນ ຖ້າທຸກຢ່າງເບິ່ງຄືວ່າເຮັດວຽກດີ
Debug=ຖືກຕ້ອງ
#ທາງເລືອກ: ໃຊ້ອັນນີ້, ຖ້າທ່ານມີໃບຢັ້ງຢືນທີ່ເຊັນດ້ວຍຕົນເອງ, ຖ້າບໍ່ດັ່ງນັ້ນໃຫ້ຄໍາເຫັນ (SSL ຖ້າພວກເຮົາສ້າງໃບຢັ້ງຢືນຂອງພວກເຮົາເອງແລະຕ້ອງການຢືນຢັນມັນ)
SSL_CHECK=ຜິດ

ຕໍ່ໄປ, ສ້າງໄຟລ໌ /etc/freeradius/sites-available/linotp

# touch /etc/freeradius/sites-available/linotp

# nano /etc/freeradius/sites-available/linotp

ແລະຄັດລອກ config ເຂົ້າໄປໃນມັນ (ບໍ່ຈໍາເປັນຕ້ອງແກ້ໄຂຫຍັງ):

authorize {
#normalizes maleformed client request before handed on to other modules (see '/etc/freeradius/modules/preprocess')
preprocess
#  If you are using multiple kinds of realms, you probably
#  want to set "ignore_null = yes" for all of them.
#  Otherwise, when the first style of realm doesn't match,
#  the other styles won't be checked.
#allows a list of realm (see '/etc/freeradius/modules/realm')
IPASS
#understands something like USER@REALM and can tell the components apart (see '/etc/freeradius/modules/realm')
suffix
#understands USERREALM and can tell the components apart (see '/etc/freeradius/modules/realm')
ntdomain
#  Read the 'users' file to learn about special configuration which should be applied for
# certain users (see '/etc/freeradius/modules/files')
files
# allows to let authentification to expire (see '/etc/freeradius/modules/expiration')
expiration
# allows to define valid service-times (see '/etc/freeradius/modules/logintime')
logintime
# We got no radius_shortname_map!
pap
}
#here the linotp perl module is called for further processing
authenticate {
perl
}

ຕໍ່ໄປພວກເຮົາຈະສ້າງການເຊື່ອມຕໍ່ SIM:

# ln -s ../sites-available/linotp /etc/freeradius/sites-enabled

ສ່ວນບຸກຄົນ, ຂ້ອຍຂ້າເວັບໄຊທ໌ Radius ເລີ່ມຕົ້ນ, ແຕ່ຖ້າທ່ານຕ້ອງການພວກມັນ, ທ່ານສາມາດແກ້ໄຂການຕັ້ງຄ່າຂອງພວກເຂົາຫຼືປິດພວກມັນໄດ້.

# rm /etc/freeradius/sites-enabled/default

# rm /etc/freeradius/sites-enabled/inner-tunnel

# service freeradius reload

ຕອນນີ້ໃຫ້ກັບຄືນໄປຫາຫນ້າເວັບແລະເບິ່ງມັນໃນລາຍລະອຽດເພີ່ມເຕີມເລັກນ້ອຍ:
ໃນມຸມຂວາເທິງຄລິກ LinOTP Config -> UserIdResolvers -> ໃຫມ່
ພວກເຮົາເລືອກສິ່ງທີ່ພວກເຮົາຕ້ອງການ: LDAP (AD win, LDAP samba), ຫຼື SQL, ຫຼືຜູ້ໃຊ້ທ້ອງຖິ່ນຂອງລະບົບ Flatfile.

ຕື່ມຂໍ້ມູນໃສ່ໃນຊ່ອງຂໍ້ມູນທີ່ຕ້ອງການ.

ຕໍ່ໄປພວກເຮົາສ້າງ REALMS:
ໃນມຸມຂວາເທິງ, ຄລິກ LinOTP Config -> Realms -> New.
ແລະໃຫ້ຊື່ກັບ REALMS ຂອງພວກເຮົາ, ແລະຍັງຄລິກໃສ່ UserIdResolvers ທີ່ສ້າງຂຶ້ນກ່ອນຫນ້ານີ້.

FreeRadius ຕ້ອງການຂໍ້ມູນທັງຫມົດນີ້ຢູ່ໃນໄຟລ໌ /etc/linotp2/rlm_perl.ini, ດັ່ງທີ່ຂ້າພະເຈົ້າໄດ້ຂຽນກ່ຽວກັບຂ້າງເທິງ, ດັ່ງນັ້ນຖ້າທ່ານບໍ່ໄດ້ແກ້ໄຂມັນ, ເຮັດມັນດຽວນີ້.

ເຊີບເວີຖືກຕັ້ງຄ່າທັງໝົດ.

ເພີ່ມເຕີມ:

ຕັ້ງຄ່າ LinOTP ໃນ Debian 9:

ການຕິດຕັ້ງ:

# echo 'deb http://linotp.org/apt/debian stretch linotp' > /etc/apt/sources.list.d/linotp.list 

# apt-get install dirmngr

# apt-key adv --recv-keys 913DFF12F86258E5

# apt-get update

# apt-get install mysql-server

(ໂດຍຄ່າເລີ່ມຕົ້ນ, ໃນ Debian 9 mysql (mariaDB) ບໍ່ໄດ້ສະເຫນີໃຫ້ຕັ້ງລະຫັດຜ່ານຮາກ, ແນ່ນອນທ່ານສາມາດປ່ອຍໃຫ້ມັນຫວ່າງເປົ່າ, ແຕ່ຖ້າທ່ານອ່ານຂ່າວ, ນີ້ມັກຈະເຮັດໃຫ້ "epic ລົ້ມເຫລວ", ດັ່ງນັ້ນພວກເຮົາຈະຕັ້ງມັນ. ແນວໃດກໍ່ຕາມ)

# mysql -u root -p

use mysql;

UPDATE user SET Password = PASSWORD('тут_пароль') WHERE User = 'root';

exit

# apt-get install linotp

# apt-get install linotp-adminclient-cli

# apt-get install python-ldap

# apt install freeradius

# nano /etc/freeradius/3.0/sites-enabled/linotp

ວາງລະຫັດ (ສົ່ງໂດຍ JuriM, ຂອບໃຈກັບລາວ!):

ເຊີບເວີ linotp {
ຟັງ {
ipaddr = *
ພອດ = 1812
type=auth
}
ຟັງ {
ipaddr = *
ພອດ = 1813
type=acct
}
ອະນຸຍາດ {
ຂະບວນການກ່ອນ
ອັບເດດ {
&control:Auth-Type := Perl
}
}
ພິສູດຢືນຢັນ {
ປະເພດຄວາມຖືກຕ້ອງ Perl {
perl
}
}
ການບັນຊີ {
Unix
}
}

ແກ້ໄຂ /etc/freeradius/3.0/mods-enabled/perl

perl {
filename = /usr/share/linotp/radius_linotp.pm
func_authenticate = ພິສູດຢືນຢັນ
func_authorize = ອະນຸຍາດ
}

ແຕ່ຫນ້າເສຍດາຍ, ໃນ Debian 9 ຫ້ອງສະຫມຸດ radius_linotp.pm ບໍ່ໄດ້ຖືກຕິດຕັ້ງຈາກ repositories, ດັ່ງນັ້ນພວກເຮົາຈະເອົາມັນມາຈາກ github.

# apt install git

# git clone https://github.com/LinOTP/linotp-auth-freeradius-perl

# cd linotp-auth-freeradius-perl/

# cp radius_linotp.pm /usr/share/linotp/radius_linotp.pm

ຕອນນີ້ໃຫ້ເຮົາແກ້ໄຂ /etc/freeradius/3.0/clients.conf

ເຊີບເວີລູກຄ້າ {
ipaddr = 192.168.188.0/24
secret = ລະ​ຫັດ​ຜ່ານ​ຂອງ​ທ່ານ​
}

ຕອນນີ້ໃຫ້ແກ້ nano /etc/linotp2/rlm_perl.ini

ພວກເຮົາວາງລະຫັດດຽວກັນກັບເມື່ອຕິດຕັ້ງໃນ debian 8 (ອະທິບາຍຂ້າງເທິງ)

ນັ້ນແມ່ນທັງຫມົດຕາມຄວາມຄິດ. (ຍັງ​ບໍ່​ໄດ້​ທົດ​ສອບ​)

ຂ້ອຍຈະອອກຈາກລິ້ງລຸ່ມນີ້ບາງອັນກ່ຽວກັບການຕັ້ງຄ່າລະບົບທີ່ມັກຈະຕ້ອງໄດ້ຮັບການປົກປ້ອງດ້ວຍການພິສູດຢືນຢັນສອງປັດໃຈ:
ການຕັ້ງຄ່າການກວດສອບສອງປັດໄຈໃນ Apache2

ຕິດຕັ້ງດ້ວຍ Cisco ASA(ເຄື່ອງແມ່ຂ່າຍຂອງ token ທີ່ແຕກຕ່າງກັນຖືກນໍາໃຊ້ຢູ່ທີ່ນັ້ນ, ແຕ່ການຕັ້ງຄ່າຂອງ ASA ຕົວຂອງມັນເອງແມ່ນຄືກັນ).

VPN ດ້ວຍການພິສູດຢືນຢັນສອງປັດໃຈ

ການປັບ ການກວດສອບສອງປັດໄຈໃນ ssh (LinOTP ຍັງຖືກນໍາໃຊ້ຢູ່ທີ່ນັ້ນ) - ຂໍຂອບໃຈກັບຜູ້ຂຽນ. ຢູ່ທີ່ນັ້ນທ່ານຍັງສາມາດຊອກຫາສິ່ງທີ່ຫນ້າສົນໃຈກ່ຽວກັບການສ້າງຕັ້ງນະໂຍບາຍ LiOTP.

ນອກຈາກນີ້, cms ຂອງຫຼາຍໆສະຖານທີ່ສະຫນັບສະຫນູນການກວດສອບສອງປັດໃຈ (ສໍາລັບ WordPress, LinOTP ເຖິງແມ່ນວ່າມີໂມດູນພິເສດຂອງຕົນເອງສໍາລັບ GitHub), ສໍາລັບການຍົກຕົວຢ່າງ, ຖ້າຫາກວ່າທ່ານຕ້ອງການທີ່ຈະເຮັດໃຫ້ພາກສ່ວນປ້ອງກັນຢູ່ໃນເວັບໄຊທ໌ຂອງບໍລິສັດຂອງທ່ານສໍາລັບພະນັກງານບໍລິສັດ.
ຄວາມຈິງທີ່ສໍາຄັນ! ຢ່າກວດເບິ່ງກ່ອງ “Google authenteficator” ເພື່ອໃຊ້ Google Authenticator! ລະຫັດ QR ແມ່ນອ່ານບໍ່ໄດ້ແລ້ວ... (ຄວາມຈິງແປກ)

ເພື່ອຂຽນບົດຄວາມນີ້, ຂໍ້ມູນຈາກບົດຄວາມຕໍ່ໄປນີ້ຖືກນໍາໃຊ້:
itnan.ru/post.php?c=1&p=270571
www.digitalbears.net/?p=469

ຂໍຂອບໃຈກັບຜູ້ຂຽນ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com