Telegram bot को साथ OpenVPN मा दुई-कारक प्रमाणीकरण

लेखले टेलिग्राम बोटसँग दुई-कारक प्रमाणीकरण सक्षम गर्न OpenVPN सर्भर सेटअप गर्ने वर्णन गर्दछ जुन जडान गर्दा पुष्टिकरण अनुरोध पठाउनेछ।

OpenVPN एक प्रसिद्ध, नि: शुल्क, खुला स्रोत VPN सर्भर हो जुन आन्तरिक संगठनात्मक स्रोतहरूमा सुरक्षित कर्मचारी पहुँच व्यवस्थित गर्न व्यापक रूपमा प्रयोग गरिन्छ।

VPN सर्भरमा जडान गर्नको लागि प्रमाणीकरणको रूपमा, कुञ्जी र प्रयोगकर्ता लगइन/पासवर्डको संयोजन सामान्यतया प्रयोग गरिन्छ। एकै समयमा, क्लाइन्टमा भण्डारण गरिएको पासवर्डले सम्पूर्ण सेटलाई एकल कारकमा परिणत गर्दछ जसले सुरक्षाको उचित स्तर प्रदान गर्दैन। एक आक्रमणकारीले क्लाइन्ट कम्प्युटरमा पहुँच प्राप्त गरेपछि, VPN सर्भरमा पनि पहुँच प्राप्त गर्दछ। यो विशेष गरी विन्डोज चलाउने मेसिनहरूबाट जडानहरूको लागि सत्य हो।

दोस्रो कारक प्रयोग गर्दा 99% द्वारा अनधिकृत पहुँचको जोखिम कम हुन्छ र प्रयोगकर्ताहरूको लागि जडान प्रक्रियालाई जटिल बनाउँदैन।

मलाई तुरुन्तै आरक्षण गर्न दिनुहोस्: कार्यान्वयनको लागि तपाइँलाई तेस्रो-पक्ष प्रमाणीकरण सर्भर multifactor.ru जडान गर्न आवश्यक छ, जसमा तपाइँ तपाइँको आवश्यकताहरु को लागी एक नि: शुल्क ट्यारिफ प्रयोग गर्न सक्नुहुन्छ।

कसरी यो काम गर्दछ

1. OpenVPN ले प्रमाणीकरणको लागि openvpn-plugin-auth-pam प्लगइन प्रयोग गर्दछ
2. प्लगइनले सर्भरमा प्रयोगकर्ताको पासवर्ड जाँच गर्दछ र मल्टिफ्याक्टर सेवामा RADIUS प्रोटोकल मार्फत दोस्रो कारक अनुरोध गर्दछ।
3. मल्टिफ्याक्टरले प्रयोगकर्तालाई टेलिग्राम बोटमार्फत पहुँच पुष्टि गर्ने सन्देश पठाउँछ
4. प्रयोगकर्ताले टेलिग्राम च्याटमा पहुँच अनुरोध पुष्टि गर्दछ र VPN मा जडान गर्दछ

OpenVPN सर्भर स्थापना गर्दै

OpenVPN स्थापना र कन्फिगर गर्ने प्रक्रियाको वर्णन गर्ने इन्टरनेटमा धेरै लेखहरू छन्, त्यसैले हामी तिनीहरूलाई डुप्लिकेट गर्दैनौं। यदि तपाईंलाई मद्दत चाहिन्छ भने, लेखको अन्त्यमा ट्यूटोरियलका लागि धेरै लिङ्कहरू छन्।

Multifactor सेट अप गर्दै

जानुहोस् Multifactor नियन्त्रण प्रणाली, "संसाधन" खण्डमा जानुहोस् र नयाँ VPN सिर्जना गर्नुहोस्।
एक पटक सिर्जना भएपछि, तपाईंसँग दुई विकल्पहरू उपलब्ध हुनेछन्: NAS-पहिचानकर्ता и साझा गरिएको गोप्यता, तिनीहरू पछिको कन्फिगरेसनको लागि आवश्यक हुनेछ।

"समूहहरू" खण्डमा, "सबै प्रयोगकर्ताहरू" समूह सेटिङहरूमा जानुहोस् र "सबै स्रोतहरू" झण्डा हटाउनुहोस् ताकि एक निश्चित समूहका प्रयोगकर्ताहरू मात्र VPN सर्भरमा जडान हुन सक्छन्।

नयाँ समूह "VPN प्रयोगकर्ताहरू" सिर्जना गर्नुहोस्, Telegram बाहेक सबै प्रमाणीकरण विधिहरू असक्षम गर्नुहोस् र प्रयोगकर्ताहरूलाई सिर्जना गरिएको VPN स्रोतमा पहुँच छ भनेर संकेत गर्नुहोस्।

"प्रयोगकर्ताहरू" खण्डमा, VPN मा पहुँच हुने प्रयोगकर्ताहरू सिर्जना गर्नुहोस्, तिनीहरूलाई "VPN प्रयोगकर्ताहरू" समूहमा थप्नुहोस् र तिनीहरूलाई प्रमाणीकरणको दोस्रो कारक कन्फिगर गर्न लिङ्क पठाउनुहोस्। प्रयोगकर्ता लगइन VPN सर्भरमा लगइनसँग मेल खानुपर्छ।

OpenVPN सर्भर सेटअप गर्दै

फाइल खोल्नुहोस् /etc/openvpn/server.conf र PAM मोड्युल प्रयोग गरेर प्रमाणीकरणको लागि प्लगइन थप्नुहोस्

plugin /usr/lib64/openvpn/plugins/openvpn-plugin-auth-pam.so openvpn

प्लगइन डाइरेक्टरीमा अवस्थित गर्न सकिन्छ /usr/lib/openvpn/plugins/ वा /usr/lib64/openvpn/plugins/ तपाइँको प्रणाली मा निर्भर गर्दछ।

अर्को तपाईंले pam_radius_auth मोड्युल स्थापना गर्न आवश्यक छ

$ sudo yum install pam_radius

सम्पादनको लागि फाइल खोल्नुहोस् /etc/pam_radius.conf र Multifactor को RADIUS सर्भरको ठेगाना निर्दिष्ट गर्नुहोस्

radius.multifactor.ru   shared_secret   40

कहाँ:

• radius.multifactor.ru — सर्भर ठेगाना
• shared_secret - सम्बन्धित VPN सेटिङ प्यारामिटरबाट प्रतिलिपि गर्नुहोस्
• 40 सेकेन्ड - ठूलो मार्जिन संग अनुरोध को लागी प्रतीक्षा को लागी समय समाप्ति

बाँकी सर्भरहरू मेटाउन वा कमेन्ट आउट गर्नुपर्छ (सुरुमा अर्धविराम राख्नुहोस्)

अर्को, सेवा-प्रकार openvpn को लागी फाइल सिर्जना गर्नुहोस्

$ sudo vi /etc/pam.d/openvpn

र यसलाई लेख्नुहोस्

auth    required pam_radius_auth.so skip_passwd client_id=[NAS-IDentifier]
auth    substack     password-auth
account substack     password-auth

पहिलो रेखाले PAM मोड्युल pam_radius_auth लाई प्यारामिटरहरूसँग जोड्दछ:

• skip_passwd - RADIUS Multifactor सर्भरमा प्रयोगकर्ताको पासवर्डको प्रसारण असक्षम पार्छ (उहाँले यो जान्न आवश्यक छैन)।
• client_id — [NAS-Identifier] लाई VPN स्रोत सेटिङहरूबाट सम्बन्धित प्यारामिटरसँग बदल्नुहोस्।
  सबै सम्भावित प्यारामिटरहरू मा वर्णन गरिएको छ मोड्युल लागि कागजात.

दोस्रो र तेस्रो लाइनहरूमा लगइन, पासवर्ड र तपाइँको सर्भरमा दोस्रो प्रमाणीकरण कारकको साथ प्रयोगकर्ता अधिकारहरूको प्रणाली प्रमाणिकरण समावेश छ।

OpenVPN पुन: सुरु गर्नुहोस्

$ sudo systemctl restart openvpn@server

ग्राहक सेटअप

ग्राहक कन्फिगरेसन फाइलमा प्रयोगकर्ता लगइन र पासवर्डको लागि अनुरोध समावेश गर्नुहोस्

auth-user-pass

निरीक्षण

OpenVPN क्लाइन्ट सुरु गर्नुहोस्, सर्भरमा जडान गर्नुहोस्, आफ्नो प्रयोगकर्ता नाम र पासवर्ड प्रविष्ट गर्नुहोस्। टेलिग्राम बोटले दुई बटनहरूसँग पहुँच अनुरोध पठाउनेछ

एउटा बटनले पहुँच अनुमति दिन्छ, दोस्रोले यसलाई रोक्छ।

अब तपाइँ क्लाइन्टमा तपाइँको पासवर्ड सुरक्षित रूपमा बचत गर्न सक्नुहुन्छ; दोस्रो कारकले तपाइँको OpenVPN सर्भरलाई अनधिकृत पहुँचबाट विश्वसनीय रूपमा सुरक्षित गर्नेछ।

यदि केहि काम गर्दैन भने

क्रमशः जाँच गर्नुहोस् कि तपाईंले केहि पनि छुटेको छैन:

• त्यहाँ सर्भरमा OpenVPN को साथ पासवर्ड सेट भएको प्रयोगकर्ता छ
• सर्भरसँग UDP पोर्ट 1812 मार्फत radius.multifactor.ru ठेगानामा पहुँच छ।
• NAS-पहिचानकर्ता र साझा गोप्य प्यारामिटरहरू सही रूपमा निर्दिष्ट गरिएका छन्
• एउटै लगइन भएको प्रयोगकर्तालाई Multifactor प्रणालीमा सिर्जना गरिएको छ र VPN प्रयोगकर्ता समूहमा पहुँच प्रदान गरिएको छ।
• प्रयोगकर्ताले टेलिग्राम मार्फत प्रमाणीकरण विधि कन्फिगर गरेको छ

यदि तपाईंले पहिले OpenVPN सेट अप गर्नुभएको छैन भने, पढ्नुहोस् विस्तृत लेख.

निर्देशनहरू CentOS 7 मा उदाहरणहरू सहित बनाइएका छन्।

स्रोत: www.habr.com