टेलीग्राम बॉटसह OpenVPN मध्ये द्वि-घटक प्रमाणीकरण

लेखात टेलिग्राम बॉटसह द्वि-घटक प्रमाणीकरण सक्षम करण्यासाठी OpenVPN सर्व्हर सेट करण्याचे वर्णन केले आहे जे कनेक्शनवर पुष्टीकरण विनंती पाठवेल.

OpenVPN एक सुप्रसिद्ध, विनामूल्य, मुक्त-स्रोत VPN सर्व्हर आहे जो अंतर्गत संस्थात्मक संसाधनांमध्ये सुरक्षित कर्मचारी प्रवेश आयोजित करण्यासाठी मोठ्या प्रमाणावर वापरला जातो.

VPN सर्व्हरशी कनेक्ट करण्यासाठी प्रमाणीकरण म्हणून, की आणि वापरकर्ता लॉगिन/पासवर्ड यांचे संयोजन सहसा वापरले जाते. त्याच वेळी, क्लायंटवर संचयित केलेला पासवर्ड संपूर्ण संच एका घटकामध्ये बदलतो जो योग्य स्तराची सुरक्षा प्रदान करत नाही. हल्लेखोर, क्लायंट संगणकावर प्रवेश मिळवून, VPN सर्व्हरवर देखील प्रवेश मिळवतो. हे विशेषतः विंडोज चालविणाऱ्या मशीनच्या कनेक्शनसाठी सत्य आहे.

दुसरा घटक वापरल्याने अनधिकृत प्रवेशाचा धोका 99% कमी होतो आणि वापरकर्त्यांसाठी कनेक्शन प्रक्रिया अजिबात गुंतागुंतीची होत नाही.

मला लगेच आरक्षण करू द्या: अंमलबजावणीसाठी तुम्हाला थर्ड-पार्टी ऑथेंटिकेशन सर्व्हर multifactor.ru कनेक्ट करणे आवश्यक आहे, ज्यामध्ये तुम्ही तुमच्या गरजांसाठी मोफत दर वापरू शकता.

हे कसे कार्य करते

1. ओपनव्हीपीएन प्रमाणीकरणासाठी ओपनव्हीपीएन-प्लगइन-ऑथ-पॅम प्लगइन वापरते
2. प्लगइन सर्व्हरवर वापरकर्त्याचा पासवर्ड तपासतो आणि मल्टीफॅक्टर सेवेतील RADIUS प्रोटोकॉलद्वारे दुसऱ्या घटकाची विनंती करतो
3. मल्टीफॅक्टर वापरकर्त्याला टेलीग्राम बॉटद्वारे प्रवेशाची पुष्टी करणारा संदेश पाठवतो
4. वापरकर्ता टेलीग्राम चॅटमध्ये प्रवेश विनंतीची पुष्टी करतो आणि VPN शी कनेक्ट करतो

OpenVPN सर्व्हर स्थापित करत आहे

इंटरनेटवर OpenVPN स्थापित आणि कॉन्फिगर करण्याच्या प्रक्रियेचे वर्णन करणारे बरेच लेख आहेत, म्हणून आम्ही त्यांची डुप्लिकेट करणार नाही. तुम्हाला मदत हवी असल्यास, लेखाच्या शेवटी ट्यूटोरियलच्या अनेक लिंक्स आहेत.

मल्टीफॅक्टर सेट करत आहे

जा मल्टीफॅक्टर कंट्रोल सिस्टम, "संसाधने" विभागात जा आणि एक नवीन VPN तयार करा.
एकदा तयार केल्यावर, तुमच्यासाठी दोन पर्याय उपलब्ध असतील: NAS-आयडेंटिफायर и सामायिक रहस्य, त्यानंतरच्या कॉन्फिगरेशनसाठी ते आवश्यक असतील.

"समूह" विभागात, "सर्व वापरकर्ते" गट सेटिंग्जवर जा आणि "सर्व संसाधने" ध्वज काढा जेणेकरून केवळ विशिष्ट गटाचे वापरकर्ते VPN सर्व्हरशी कनेक्ट होऊ शकतील.

एक नवीन गट "VPN वापरकर्ते" तयार करा, टेलीग्राम वगळता सर्व प्रमाणीकरण पद्धती अक्षम करा आणि वापरकर्त्यांना तयार केलेल्या VPN संसाधनामध्ये प्रवेश असल्याचे सूचित करा.

"वापरकर्ते" विभागात, असे वापरकर्ते तयार करा ज्यांना VPN मध्ये प्रवेश असेल, त्यांना "VPN वापरकर्ते" गटामध्ये जोडा आणि प्रमाणीकरणाचा दुसरा घटक कॉन्फिगर करण्यासाठी त्यांना एक लिंक पाठवा. वापरकर्ता लॉगिन VPN सर्व्हरवरील लॉगिनशी जुळला पाहिजे.

OpenVPN सर्व्हर सेट करत आहे

फाईल उघडा /etc/openvpn/server.conf आणि PAM मॉड्यूल वापरून प्रमाणीकरणासाठी प्लगइन जोडा

plugin /usr/lib64/openvpn/plugins/openvpn-plugin-auth-pam.so openvpn

प्लगइन निर्देशिकेत स्थित असू शकते /usr/lib/openvpn/plugins/ किंवा /usr/lib64/openvpn/plugins/ आपल्या सिस्टमवर अवलंबून.

पुढे तुम्हाला pam_radius_auth मॉड्यूल स्थापित करणे आवश्यक आहे

$ sudo yum install pam_radius

संपादनासाठी फाइल उघडा /etc/pam_radius.conf आणि मल्टीफॅक्टरच्या RADIUS सर्व्हरचा पत्ता निर्दिष्ट करा

radius.multifactor.ru   shared_secret   40

कोठे:

• radius.multifactor.ru — सर्व्हर पत्ता
• shared_secret - संबंधित VPN सेटिंग्ज पॅरामीटरवरून कॉपी करा
• 40 सेकंद - मोठ्या फरकाने विनंतीची प्रतीक्षा करण्यासाठी कालबाह्य

उर्वरित सर्व्हर हटवणे किंवा टिप्पणी करणे आवश्यक आहे (सुरुवातीला अर्धविराम ठेवा)

पुढे, सेवा-प्रकार openvpn साठी फाइल तयार करा

$ sudo vi /etc/pam.d/openvpn

आणि त्यात लिहा

auth    required pam_radius_auth.so skip_passwd client_id=[NAS-IDentifier]
auth    substack     password-auth
account substack     password-auth

पहिली ओळ PAM मॉड्यूल pam_radius_auth ला पॅरामीटर्ससह जोडते:

• skip_passwd - वापरकर्त्याचा पासवर्ड रेडियस मल्टीफॅक्टर सर्व्हरवर प्रसारित करणे अक्षम करते (त्याला हे माहित असणे आवश्यक नाही).
• client_id — VPN संसाधन सेटिंग्जमधील संबंधित पॅरामीटरसह [NAS-Identifier] पुनर्स्थित करा.
  सर्व संभाव्य पॅरामीटर्समध्ये वर्णन केले आहे मॉड्यूलसाठी दस्तऐवजीकरण.

दुसर्‍या आणि तिसर्‍या ओळींमध्ये दुसर्‍या प्रमाणीकरण घटकासह लॉगिन, पासवर्ड आणि आपल्या सर्व्हरवरील वापरकर्ता अधिकारांचे सिस्टम सत्यापन समाविष्ट आहे.

OpenVPN रीस्टार्ट करा

$ sudo systemctl restart openvpn@server

क्लायंट सेटअप

क्लायंट कॉन्फिगरेशन फाइलमध्ये वापरकर्ता लॉगिन आणि पासवर्डसाठी विनंती समाविष्ट करा

auth-user-pass

तपासणी

OpenVPN क्लायंट लाँच करा, सर्व्हरशी कनेक्ट करा, तुमचे वापरकर्तानाव आणि पासवर्ड एंटर करा. टेलिग्राम बॉटला दोन बटणांसह प्रवेश विनंती प्राप्त होईल

एक बटण प्रवेशास अनुमती देते, दुसरे ते अवरोधित करते.

आता तुम्ही क्लायंटवर तुमचा पासवर्ड सुरक्षितपणे सेव्ह करू शकता; दुसरा घटक तुमच्या OpenVPN सर्व्हरला अनधिकृत प्रवेशापासून विश्वसनीयरित्या संरक्षित करेल.

काहीतरी काम करत नसल्यास

तुम्‍ही काही चुकले नाही हे क्रमाने तपासा:

• पासवर्ड सेटसह OpenVPN सह सर्व्हरवर एक वापरकर्ता आहे
• सर्व्हरला UDP पोर्ट 1812 द्वारे radius.multifactor.ru पत्त्यावर प्रवेश आहे
• NAS-Identifier आणि Shared Secret मापदंड योग्यरित्या निर्दिष्ट केले आहेत
• मल्टीफॅक्टर सिस्टीममध्ये समान लॉगिन असलेला वापरकर्ता तयार केला गेला आहे आणि त्याला VPN वापरकर्ता गटात प्रवेश दिला गेला आहे.
• वापरकर्त्याने टेलीग्राम द्वारे प्रमाणीकरण पद्धत कॉन्फिगर केली आहे

तुम्ही यापूर्वी OpenVPN सेट केले नसल्यास, वाचा तपशीलवार लेख.

सूचना CentOS 7 वरील उदाहरणांसह तयार केल्या आहेत.

स्त्रोत: www.habr.com