ການກວດສອບສອງປັດໃຈໃນ OpenVPN ດ້ວຍ Telegram bot

ບົດຄວາມອະທິບາຍການຕັ້ງເຄື່ອງແມ່ຂ່າຍ OpenVPN ເພື່ອເປີດໃຊ້ການກວດສອບສອງປັດໃຈດ້ວຍ Telegram bot ທີ່ຈະສົ່ງຄໍາຮ້ອງຂໍການຢືນຢັນເມື່ອເຊື່ອມຕໍ່.

OpenVPN ເປັນເຊີບເວີ VPN ທີ່ມີຊື່ສຽງ, ຟຣີ, ເປີດນໍາໃຊ້ຢ່າງກວ້າງຂວາງເພື່ອຈັດຕັ້ງການເຂົ້າຫາຊັບພະຍາກອນພາຍໃນອົງກອນທີ່ປອດໄພຂອງພະນັກງານ.

ໃນຖານະເປັນການກວດສອບຄວາມຖືກຕ້ອງສໍາລັບການເຊື່ອມຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍ VPN, ການລວມກັນຂອງລະຫັດແລະການເຂົ້າສູ່ລະບົບຂອງຜູ້ໃຊ້ / ລະຫັດຜ່ານແມ່ນຖືກນໍາໃຊ້ໂດຍປົກກະຕິ. ໃນເວລາດຽວກັນ, ລະຫັດຜ່ານທີ່ເກັບໄວ້ໃນລູກຄ້າປ່ຽນຊຸດທັງຫມົດເຂົ້າໄປໃນປັດໃຈດຽວທີ່ບໍ່ໄດ້ສະຫນອງລະດັບຄວາມປອດໄພທີ່ເຫມາະສົມ. ຜູ້ໂຈມຕີ, ໄດ້ຮັບການເຂົ້າເຖິງຄອມພິວເຕີລູກຄ້າ, ຍັງໄດ້ຮັບການເຂົ້າເຖິງເຄື່ອງແມ່ຂ່າຍ VPN. ນີ້ແມ່ນຄວາມຈິງໂດຍສະເພາະສໍາລັບການເຊື່ອມຕໍ່ຈາກເຄື່ອງຈັກທີ່ໃຊ້ Windows.

ການນໍາໃຊ້ປັດໄຈທີສອງຫຼຸດຜ່ອນຄວາມສ່ຽງຂອງການເຂົ້າເຖິງທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດໂດຍ 99% ແລະບໍ່ສັບສົນຂະບວນການເຊື່ອມຕໍ່ສໍາລັບຜູ້ໃຊ້ທັງຫມົດ.

ຂໍໃຫ້ຂ້ອຍຈອງທັນທີ: ສໍາລັບການປະຕິບັດທ່ານຈະຕ້ອງເຊື່ອມຕໍ່ເຄື່ອງແມ່ຂ່າຍການກວດສອບພາກສ່ວນທີສາມ multifactor.ru, ເຊິ່ງທ່ານສາມາດນໍາໃຊ້ອັດຕາພາສີຟຣີສໍາລັບຄວາມຕ້ອງການຂອງທ່ານ.

ເຮັດແນວໃດມັນເຮັດວຽກ

1. OpenVPN ໃຊ້ plugin openvpn-plugin-auth-pam ສໍາລັບການກວດສອບຄວາມຖືກຕ້ອງ
2. ປັ໊ກອິນຈະກວດສອບລະຫັດຜ່ານຂອງຜູ້ໃຊ້ໃນເຊີບເວີແລະຮ້ອງຂໍປັດໄຈທີສອງຜ່ານໂປໂຕຄອນ RADIUS ໃນບໍລິການ Multifactor
3. Multifactor ສົ່ງຂໍ້ຄວາມໄປຫາຜູ້ໃຊ້ຜ່ານ Telegram bot ຢືນຢັນການເຂົ້າເຖິງ
4. ຜູ້ໃຊ້ຢືນຢັນການຮ້ອງຂໍການເຂົ້າເຖິງໃນການສົນທະນາ Telegram ແລະເຊື່ອມຕໍ່ກັບ VPN

ການຕິດຕັ້ງເຊີບເວີ OpenVPN

ມີຫຼາຍບົດຄວາມໃນອິນເຕີເນັດທີ່ອະທິບາຍເຖິງຂັ້ນຕອນການຕິດຕັ້ງ ແລະການຕັ້ງຄ່າ OpenVPN, ດັ່ງນັ້ນພວກເຮົາຈະບໍ່ຊໍ້າກັນ. ຖ້າທ່ານຕ້ອງການຄວາມຊ່ວຍເຫຼືອ, ມີຫຼາຍລິ້ງໄປຫາບົດສອນຢູ່ໃນຕອນທ້າຍຂອງບົດຄວາມ.

ການຕັ້ງຄ່າ Multifactor

ໄປຫາ ລະບົບການຄວບຄຸມ Multifactor, ໄປທີ່ພາກ "ຊັບພະຍາກອນ" ແລະສ້າງ VPN ໃຫມ່.
ເມື່ອສ້າງແລ້ວ, ທ່ານຈະມີສອງທາງເລືອກທີ່ມີຢູ່ກັບທ່ານ: NAS-ຕົວລະບຸ и ແບ່ງປັນຄວາມລັບ, ພວກເຂົາຈະຕ້ອງການສໍາລັບການຕັ້ງຄ່າຕໍ່ໄປ.

ໃນສ່ວນ "ກຸ່ມ", ໄປທີ່ການຕັ້ງຄ່າກຸ່ມ "ຜູ້ໃຊ້ທັງໝົດ" ແລະເອົາທຸງ "ຊັບພະຍາກອນທັງໝົດ" ເພື່ອໃຫ້ຜູ້ໃຊ້ສະເພາະກຸ່ມໃດນຶ່ງສາມາດເຊື່ອມຕໍ່ກັບເຊີບເວີ VPN ໄດ້.

ສ້າງກຸ່ມໃຫມ່ "ຜູ້ໃຊ້ VPN", ປິດວິທີການກວດສອບຄວາມຖືກຕ້ອງທັງຫມົດຍົກເວັ້ນ Telegram ແລະຊີ້ບອກວ່າຜູ້ໃຊ້ສາມາດເຂົ້າເຖິງຊັບພະຍາກອນ VPN ທີ່ຖືກສ້າງຂື້ນ.

ໃນສ່ວນ "ຜູ້ໃຊ້", ສ້າງຜູ້ໃຊ້ທີ່ຈະມີການເຂົ້າເຖິງ VPN, ເພີ່ມພວກເຂົາເຂົ້າໄປໃນກຸ່ມ "ຜູ້ໃຊ້ VPN" ແລະສົ່ງໃຫ້ພວກເຂົາເຊື່ອມຕໍ່ເພື່ອກໍານົດປັດໃຈທີສອງຂອງການພິສູດຢືນຢັນ. ການເຂົ້າສູ່ລະບົບຂອງຜູ້ໃຊ້ຕ້ອງກົງກັບການເຂົ້າສູ່ລະບົບໃນເຊີບເວີ VPN.

ການຕັ້ງຄ່າເຄື່ອງແມ່ຂ່າຍ OpenVPN

ເປີດໄຟລ໌ /etc/openvpn/server.conf ແລະເພີ່ມ plugin ສໍາລັບການກວດສອບຄວາມຖືກຕ້ອງໂດຍໃຊ້ໂມດູນ PAM

plugin /usr/lib64/openvpn/plugins/openvpn-plugin-auth-pam.so openvpn

plugin ສາມາດຕັ້ງຢູ່ໃນໄດເລກະທໍລີ /usr/lib/openvpn/plugins/ ຫຼື /usr/lib64/openvpn/plugins/ ຂຶ້ນກັບລະບົບຂອງທ່ານ.

ຕໍ່ໄປ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ຕິດຕັ້ງໂມດູນ pam_radius_auth

$ sudo yum install pam_radius

ເປີດໄຟລ໌ເພື່ອແກ້ໄຂ /etc/pam_radius.conf ແລະລະບຸທີ່ຢູ່ຂອງເຊີບເວີ RADIUS ຂອງ Multifactor

radius.multifactor.ru   shared_secret   40

ບ່ອນທີ່:

• radius.multifactor.ru — ທີ່​ຢູ່​ຂອງ​ເຄື່ອງ​ແມ່​ຂ່າຍ​
• shared_secret - ສຳເນົາຈາກພາຣາມິເຕີການຕັ້ງຄ່າ VPN ທີ່ສອດຄ້ອງກັນ
• 40 ວິນາທີ - ໝົດເວລາລໍຖ້າການຮ້ອງຂໍທີ່ມີຂອບຂະໜາດໃຫຍ່

ເຊີບເວີທີ່ຍັງເຫຼືອຈະຕ້ອງຖືກລຶບ ຫຼືສະແດງຄຳເຫັນອອກ (ໃສ່ເຄື່ອງໝາຍຈຸດຢູ່ຈຸດເລີ່ມຕົ້ນ)

ຕໍ່ໄປ, ສ້າງໄຟລ໌ສໍາລັບປະເພດການບໍລິການ openvpn

$ sudo vi /etc/pam.d/openvpn

ແລະຂຽນມັນຢູ່ໃນ

auth    required pam_radius_auth.so skip_passwd client_id=[NAS-IDentifier]
auth    substack     password-auth
account substack     password-auth

ແຖວທໍາອິດເຊື່ອມຕໍ່ໂມດູນ PAM pam_radius_auth ກັບພາລາມິເຕີ:

• skip_passwd - ປິດການສົ່ງລະຫັດຜ່ານຂອງຜູ້ໃຊ້ໄປຫາເຊີບເວີ RADIUS Multifactor (ລາວບໍ່ຈໍາເປັນຕ້ອງຮູ້).
• client_id — ແທນ [NAS-Identifier] ດ້ວຍພາລາມິເຕີທີ່ສອດຄ້ອງກັນຈາກການຕັ້ງຄ່າຊັບພະຍາກອນ VPN.
  ຕົວກໍານົດການທີ່ເປັນໄປໄດ້ທັງຫມົດແມ່ນອະທິບາຍຢູ່ໃນ ເອກະສານສໍາລັບໂມດູນ.

ແຖວທີສອງແລະທີສາມປະກອບມີການກວດສອບລະບົບການເຂົ້າສູ່ລະບົບ, ລະຫັດຜ່ານແລະສິດທິຂອງຜູ້ໃຊ້ໃນເຄື່ອງແມ່ຂ່າຍຂອງທ່ານພ້ອມກັບປັດໄຈການພິສູດຢືນຢັນທີສອງ.

ຣີສະຕາດ OpenVPN

$ sudo systemctl restart openvpn@server

ການ​ຕັ້ງ​ຄ່າ​ລູກ​ຄ້າ​

ລວມເອົາການຮ້ອງຂໍການເຂົ້າສູ່ລະບົບຂອງຜູ້ໃຊ້ແລະລະຫັດຜ່ານໃນໄຟລ໌ການຕັ້ງຄ່າລູກຄ້າ

auth-user-pass

ການກວດກາ

ເປີດຕົວລູກຄ້າ OpenVPN, ເຊື່ອມຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍ, ໃສ່ຊື່ຜູ້ໃຊ້ແລະລະຫັດຜ່ານຂອງທ່ານ. Telegram bot ຈະສົ່ງຄໍາຮ້ອງຂໍການເຂົ້າເຖິງດ້ວຍສອງປຸ່ມ

ປຸ່ມຫນຶ່ງອະນຸຍາດໃຫ້ເຂົ້າເຖິງ, ທີສອງປິດກັ້ນມັນ.

ດຽວນີ້ທ່ານສາມາດບັນທຶກລະຫັດຜ່ານຂອງທ່ານໃນລູກຄ້າໄດ້ຢ່າງປອດໄພ; ປັດໃຈທີສອງຈະປົກປ້ອງເຄື່ອງແມ່ຂ່າຍ OpenVPN ຂອງເຈົ້າຈາກການເຂົ້າເຖິງທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດ.

ຖ້າບາງສິ່ງບາງຢ່າງບໍ່ເຮັດວຽກ

ກວດເບິ່ງຕາມລໍາດັບວ່າທ່ານບໍ່ໄດ້ພາດຫຍັງເລີຍ:

• ມີຜູ້ໃຊ້ຢູ່ໃນເຄື່ອງແມ່ຂ່າຍທີ່ມີ OpenVPN ທີ່ມີລະຫັດຜ່ານທີ່ກໍານົດໄວ້
• ເຊີບເວີມີການເຂົ້າເຖິງຜ່ານພອດ UDP 1812 ໄປຫາທີ່ຢູ່ radius.multifactor.ru
• ຕົວກໍານົດການ NAS-Identifier ແລະ Shared Secret ຖືກລະບຸຢ່າງຖືກຕ້ອງ
• ຜູ້ໃຊ້ທີ່ມີການເຂົ້າສູ່ລະບົບດຽວກັນໄດ້ຖືກສ້າງຂື້ນໃນລະບົບ Multifactor ແລະໄດ້ຮັບອະນຸຍາດໃຫ້ເຂົ້າເຖິງກຸ່ມຜູ້ໃຊ້ VPN.
• ຜູ້ໃຊ້ໄດ້ຕັ້ງຄ່າວິທີການກວດສອບຄວາມຖືກຕ້ອງຜ່ານ Telegram

ຖ້າທ່ານບໍ່ໄດ້ຕັ້ງຄ່າ OpenVPN ມາກ່ອນ, ໃຫ້ອ່ານ ບົດ​ຄວາມ​ລະ​ອຽດ​.

ຄໍາແນະນໍາແມ່ນເຮັດດ້ວຍຕົວຢ່າງໃນ CentOS 7.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com