Freeradius + Google ਪ੍ਰਮਾਣਕ + LDAP + Fortigate

ਕੀ ਹੋਵੇਗਾ ਜੇਕਰ ਦੋ-ਕਾਰਕ ਪ੍ਰਮਾਣਿਕਤਾ ਦੋਵੇਂ ਫਾਇਦੇਮੰਦ ਅਤੇ ਚੁੰਝਦਾਰ ਹਨ, ਪਰ ਹਾਰਡਵੇਅਰ ਟੋਕਨਾਂ ਲਈ ਕੋਈ ਪੈਸਾ ਨਹੀਂ ਹੈ ਅਤੇ ਆਮ ਤੌਰ 'ਤੇ ਉਹ ਚੰਗੇ ਮੂਡ ਵਿੱਚ ਰਹਿਣ ਦੀ ਪੇਸ਼ਕਸ਼ ਕਰਦੇ ਹਨ।

ਇਹ ਹੱਲ ਕੁਝ ਬਹੁਤ ਅਸਲੀ ਨਹੀਂ ਹੈ, ਸਗੋਂ ਇੰਟਰਨੈੱਟ 'ਤੇ ਮਿਲੇ ਵੱਖ-ਵੱਖ ਹੱਲਾਂ ਦਾ ਮਿਸ਼ਰਣ ਹੈ।

ਇਸ ਲਈ ਦਿੱਤਾ

ਡੋਮੈਨ ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ.

VPN ਰਾਹੀਂ ਕੰਮ ਕਰਨ ਵਾਲੇ ਡੋਮੇਨ ਉਪਭੋਗਤਾ, ਜਿਵੇਂ ਕਿ ਅੱਜ ਬਹੁਤ ਸਾਰੇ।

VPN ਗੇਟਵੇ ਵਜੋਂ ਕੰਮ ਕਰਦਾ ਹੈ ਤਕਦੀਰ.

ਸੁਰੱਖਿਆ ਨੀਤੀ ਦੁਆਰਾ VPN ਕਲਾਇੰਟ ਲਈ ਪਾਸਵਰਡ ਸੁਰੱਖਿਅਤ ਕਰਨ ਦੀ ਮਨਾਹੀ ਹੈ।

ਰਾਜਨੀਤੀ Fortinet ਤੁਹਾਡੇ ਆਪਣੇ ਟੋਕਨਾਂ ਦੇ ਸਬੰਧ ਵਿੱਚ, ਤੁਸੀਂ ਇਸਨੂੰ ਇੱਕ ਜ਼ਲੋਬ ਤੋਂ ਘੱਟ ਨਹੀਂ ਕਹਿ ਸਕਦੇ - ਇੱਥੇ 10 ਤੋਂ ਵੱਧ ਮੁਫ਼ਤ ਟੋਕਨ ਹਨ, ਬਾਕੀ - ਇੱਕ ਬਹੁਤ ਹੀ ਗੈਰ-ਕੋਸ਼ਰ ਕੀਮਤ 'ਤੇ। ਮੈਂ RSASecureID, Duo ਅਤੇ ਇਸ ਤਰ੍ਹਾਂ ਦੇ ਵਿਚਾਰ ਨਹੀਂ ਕੀਤੇ, ਕਿਉਂਕਿ ਮੈਂ ਓਪਨ ਸੋਰਸ ਚਾਹੁੰਦਾ ਹਾਂ।

ਲੋੜਾਂ: ਮੇਜ਼ਬਾਨ * ਨਿੱਕ ਸਥਾਪਿਤ ਦੇ ਨਾਲ freeradius, ਐਸਐਸਡੀ - ਡੋਮੇਨ ਵਿੱਚ ਦਾਖਲ ਹੋਏ, ਡੋਮੇਨ ਉਪਭੋਗਤਾ ਇਸ 'ਤੇ ਆਸਾਨੀ ਨਾਲ ਪ੍ਰਮਾਣਿਤ ਕਰ ਸਕਦੇ ਹਨ.

ਵਾਧੂ ਪੈਕੇਜ: ਸ਼ੈਲੀਨਾ ਬਾਕਸ, ਅੰਜੀਰ, freeradius-ldap, ਫੌਂਟ rebel.tlf ਰਿਪੋਜ਼ਟਰੀ ਤੱਕ https://github.com/xero/figlet-fonts.

ਮੇਰੀ ਉਦਾਹਰਣ ਵਿੱਚ - CentOS 7.8.

ਕੰਮ ਦਾ ਤਰਕ ਹੇਠ ਲਿਖੇ ਅਨੁਸਾਰ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ: VPN ਨਾਲ ਕਨੈਕਟ ਕਰਦੇ ਸਮੇਂ, ਉਪਭੋਗਤਾ ਨੂੰ ਇੱਕ ਪਾਸਵਰਡ ਦੀ ਬਜਾਏ ਇੱਕ ਡੋਮੇਨ ਲੌਗਇਨ ਅਤੇ OTP ਦਰਜ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ।

ਸੇਵਾਵਾਂ ਦਾ ਸੈੱਟਅੱਪ

В /etc/raddb/radiusd.conf ਸਿਰਫ਼ ਉਪਭੋਗਤਾ ਅਤੇ ਸਮੂਹ ਜਿਸ ਦੀ ਤਰਫ਼ੋਂ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ freeradius, ਸੇਵਾ ਦੇ ਬਾਅਦ radiusd ਸਾਰੀਆਂ ਸਬ-ਡਾਇਰੈਕਟਰੀਆਂ ਵਿੱਚ ਫਾਈਲਾਂ ਨੂੰ ਪੜ੍ਹਨ ਦੇ ਯੋਗ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ / ਘਰ /.

user = root
group = root

ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਸਮੂਹਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੇ ਯੋਗ ਹੋਣ ਲਈ ਤਕਦੀਰ, ਪ੍ਰਸਾਰਿਤ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ ਵਿਕਰੇਤਾ ਵਿਸ਼ੇਸ਼ ਗੁਣ. ਇਹ ਕਰਨ ਲਈ, ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ raddb/policy.d ਮੈਂ ਹੇਠ ਲਿਖੀ ਸਮੱਗਰੀ ਨਾਲ ਇੱਕ ਫਾਈਲ ਬਣਾਉਂਦਾ ਹਾਂ:

group_authorization {
    if (&LDAP-Group[*] == "CN=vpn_admins,OU=vpn-groups,DC=domain,DC=local") {
            update reply {
                &Fortinet-Group-Name = "vpn_admins" }
            update control {
                &Auth-Type := PAM
                &Reply-Message := "Welcome Admin"
                }
        }
    else {
        update reply {
        &Reply-Message := "Not authorized for vpn"
            }
        reject
        }
}

ਇੰਸਟਾਲੇਸ਼ਨ ਦੇ ਬਾਅਦ freeradius-ldap ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ raddb/mods-ਉਪਲਬਧ ਫਾਈਲ ਬਣਾਈ ਗਈ ਹੈ ldap.

ਡਾਇਰੈਕਟਰੀ ਲਈ ਇੱਕ ਪ੍ਰਤੀਕ ਲਿੰਕ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ raddb/mods-ਸਮਰੱਥ.

ln -s /etc/raddb/mods-available/ldap /etc/raddb/mods-enabled/ldap

ਮੈਂ ਇਸਦੀ ਸਮੱਗਰੀ ਨੂੰ ਇਸ ਫਾਰਮ ਵਿੱਚ ਲਿਆਉਂਦਾ ਹਾਂ:

ldap {
        server = 'domain.local'
        identity = 'CN=freerad_user,OU=users,DC=domain,DC=local'
        password = "SupeSecretP@ssword"
        base_dn = 'dc=domain,dc=local'
        sasl {
        }
        user {
                base_dn = "${..base_dn}"
                filter = "(sAMAccountname=%{%{Stripped-User-Name}:-%{User-Name}})"
                sasl {
                }
                scope = 'sub'
        }
        group {
                base_dn = "${..base_dn}"
                filter = '(objectClass=Group)'
                scope = 'sub'
                name_attribute = cn
                membership_filter = "(|(member=%{control:Ldap-UserDn})(memberUid=%{%{Stripped-User-Name}:-%{User-Name}}))"
                membership_attribute = 'memberOf'
        }
}

ਫਾਈਲਾਂ ਵਿੱਚ raddb/sites-enabled/default и raddb/sites-enabled/inner-tunnel ਭਾਗ ਵਿੱਚ ਅਧਿਕਾਰਤ ਮੈਂ ਵਰਤੀ ਜਾਣ ਵਾਲੀ ਨੀਤੀ ਦਾ ਨਾਮ ਜੋੜਦਾ ਹਾਂ - group_authorization. ਇੱਕ ਮਹੱਤਵਪੂਰਣ ਨੁਕਤਾ - ਨੀਤੀ ਦਾ ਨਾਮ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਫਾਈਲ ਦੇ ਨਾਮ ਦੁਆਰਾ ਨਿਰਧਾਰਤ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਪਾਲਿਸੀ.ਡੀ, ਪਰ ਕਰਲੀ ਬਰੇਸ ਤੋਂ ਪਹਿਲਾਂ ਫਾਈਲ ਦੇ ਅੰਦਰ ਇੱਕ ਨਿਰਦੇਸ਼ ਦੁਆਰਾ।
ਭਾਗ ਵਿੱਚ ਪ੍ਰਮਾਣਿਤ ਉਹੀ ਫਾਈਲਾਂ ਵਿੱਚ ਤੁਹਾਨੂੰ ਲਾਈਨ ਨੂੰ ਅਨਕਮੇਂਟ ਕਰਨ ਦੀ ਲੋੜ ਹੈ ਪੈਮ.

ਫਾਈਲ ਵਿੱਚ clients.conf ਉਹ ਮਾਪਦੰਡ ਲਿਖੋ ਜਿਸ ਨਾਲ ਇਹ ਜੁੜ ਜਾਵੇਗਾ ਤਕਦੀਰ:

client fortigate {
    ipaddr = 192.168.1.200
    secret = testing123
    require_message_authenticator = no
    nas_type = other
}

ਮੋਡੀuleਲ ਸੰਰਚਨਾ pam.d/radiusd:

#%PAM-1.0
auth       sufficient   pam_google_authenticator.so
auth       include      password-auth
account    required     pam_nologin.so
account    include      password-auth
password   include      password-auth
session    include      password-auth

ਪੂਰਵ-ਨਿਰਧਾਰਤ ਬੰਡਲ ਲਾਗੂ ਕਰਨ ਦੇ ਵਿਕਲਪ freeradius с ਗੂਗਲ ਪ੍ਰਮਾਣਕਰਤਾ ਉਪਭੋਗਤਾ ਨੂੰ ਫਾਰਮੈਟ ਵਿੱਚ ਪ੍ਰਮਾਣ ਪੱਤਰ ਦਾਖਲ ਕਰਨ ਦੀ ਲੋੜ ਹੈ: ਉਪਭੋਗਤਾ ਨਾਮ/ਪਾਸਵਰਡ+OTP.

ਡਿਫਾਲਟ ਬੰਡਲ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੇ ਮਾਮਲੇ ਵਿੱਚ, ਸਿਰ 'ਤੇ ਡਿੱਗਣ ਵਾਲੇ ਸਰਾਪਾਂ ਦੀ ਗਿਣਤੀ ਦੀ ਕਲਪਨਾ ਕਰਕੇ. freeradius с Google Authenticator, ਮੋਡੀਊਲ ਸੰਰਚਨਾ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦਾ ਫੈਸਲਾ ਕੀਤਾ ਗਿਆ ਸੀ ਪੈਮ ਤਾਂ ਜੋ ਸਿਰਫ ਟੋਕਨ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜਾ ਸਕੇ Google Authenticator.

ਜਦੋਂ ਕੋਈ ਉਪਭੋਗਤਾ ਕਨੈਕਟ ਕਰਦਾ ਹੈ, ਤਾਂ ਇਹ ਵਾਪਰਦਾ ਹੈ:

• Freeradius ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਕੀ ਉਪਭੋਗਤਾ ਡੋਮੇਨ ਵਿੱਚ ਹੈ ਅਤੇ ਇੱਕ ਖਾਸ ਸਮੂਹ ਵਿੱਚ ਹੈ ਅਤੇ, ਜੇਕਰ ਸਫਲ ਹੁੰਦਾ ਹੈ, ਤਾਂ OTP ਟੋਕਨ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ।

ਸਭ ਕੁਝ ਉਸ ਪਲ ਤੱਕ ਕਾਫ਼ੀ ਵਧੀਆ ਲੱਗ ਰਿਹਾ ਸੀ ਜਦੋਂ ਮੈਂ ਸੋਚਿਆ ਕਿ "ਮੈਂ 300+ ਉਪਭੋਗਤਾਵਾਂ ਲਈ OTP ਕਿਵੇਂ ਰਜਿਸਟਰ ਕਰ ਸਕਦਾ ਹਾਂ?"

ਉਪਭੋਗਤਾ ਨੂੰ ਸਰਵਰ ਨਾਲ ਲਾਗਇਨ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ freeradius ਅਤੇ ਆਪਣੇ ਖਾਤੇ ਦੇ ਹੇਠਾਂ ਤੋਂ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਚਲਾਓ ਗੂਗਲ ਪ੍ਰਮਾਣੀਕਰਤਾ, ਜੋ ਉਪਭੋਗਤਾ ਲਈ ਐਪਲੀਕੇਸ਼ਨ ਲਈ ਇੱਕ QR ਕੋਡ ਤਿਆਰ ਕਰੇਗਾ। ਇਹ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਮਦਦ ਆਉਂਦੀ ਹੈ। ਸ਼ੈਲੀਨਾ ਬਾਕਸ ਦੇ ਨਾਲ ਸੁਮੇਲ ਵਿੱਚ .bash_profile.

[root@freeradius ~]# yum install -y shellinabox

ਡੈਮਨ ਸੰਰਚਨਾ ਫਾਇਲ 'ਤੇ ਸਥਿਤ ਹੈ /etc/sysconfig/shellinabox.
ਮੈਂ ਉੱਥੇ ਪੋਰਟ 443 ਨਿਰਧਾਰਿਤ ਕਰਦਾ ਹਾਂ ਅਤੇ ਤੁਸੀਂ ਆਪਣਾ ਸਰਟੀਫਿਕੇਟ ਨਿਰਧਾਰਤ ਕਰ ਸਕਦੇ ਹੋ।

[root@freeradius ~]#systemctl enable --now shellinaboxd

ਉਪਭੋਗਤਾ ਨੂੰ ਸਿਰਫ ਲਿੰਕ ਦੀ ਪਾਲਣਾ ਕਰਨ, ਡੋਮੇਨ ਕ੍ਰੈਡਿਟ ਦਾਖਲ ਕਰਨ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਲਈ ਇੱਕ QR ਕੋਡ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ।

ਐਲਗੋਰਿਦਮ ਹੇਠ ਲਿਖੇ ਅਨੁਸਾਰ ਹੈ:

• ਉਪਭੋਗਤਾ ਇੱਕ ਬ੍ਰਾਊਜ਼ਰ ਰਾਹੀਂ ਮਸ਼ੀਨ ਵਿੱਚ ਲੌਗਇਨ ਕਰਦਾ ਹੈ।
• ਕੀ ਡੋਮੇਨ ਉਪਭੋਗਤਾ ਦੀ ਜਾਂਚ ਕੀਤੀ ਗਈ ਹੈ। ਜੇਕਰ ਨਹੀਂ ਤਾਂ ਕੋਈ ਕਾਰਵਾਈ ਨਹੀਂ ਕੀਤੀ ਜਾਂਦੀ।
• ਜੇਕਰ ਉਪਭੋਗਤਾ ਇੱਕ ਡੋਮੇਨ ਉਪਭੋਗਤਾ ਹੈ, ਤਾਂ ਪ੍ਰਸ਼ਾਸਕ ਸਮੂਹ ਵਿੱਚ ਸਦੱਸਤਾ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ.
• ਜੇਕਰ ਕੋਈ ਪ੍ਰਸ਼ਾਸਕ ਨਹੀਂ ਹੈ, ਤਾਂ ਇਹ ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਕੀ Google Authenticator ਕੌਂਫਿਗਰ ਕੀਤਾ ਗਿਆ ਹੈ। ਜੇਕਰ ਨਹੀਂ, ਤਾਂ ਇੱਕ QR ਕੋਡ ਅਤੇ ਉਪਭੋਗਤਾ ਲੌਗਆਉਟ ਤਿਆਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।
• ਜੇਕਰ ਕੋਈ ਪ੍ਰਸ਼ਾਸਕ ਨਹੀਂ ਹੈ ਅਤੇ Google ਪ੍ਰਮਾਣਕ ਸੰਰਚਿਤ ਹੈ, ਤਾਂ ਸਿਰਫ਼ ਲੌਗਆਊਟ ਕਰੋ।
• ਜੇਕਰ ਪ੍ਰਸ਼ਾਸਕ, ਤਾਂ Google Authenticator ਨੂੰ ਦੁਬਾਰਾ ਦੇਖੋ। ਜੇਕਰ ਕੌਂਫਿਗਰ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ, ਤਾਂ ਇੱਕ QR ਕੋਡ ਤਿਆਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਸਾਰਾ ਤਰਕ ਵਰਤ ਕੇ ਕੀਤਾ ਜਾਂਦਾ ਹੈ /etc/skel/.bash_profile.

cat /etc/skel/.bash_profile

# .bash_profile

# Get the aliases and functions
if [ -f ~/.bashrc ]; then
        . ~/.bashrc
fi

# User specific environment and startup programs
# Make several commands available from user shell

if [[ -z $(id $USER | grep "admins") || -z $(cat /etc/passwd | grep $USER) ]]
  then
    [[ ! -d $HOME/bin ]] && mkdir $HOME/bin
    [[ ! -f $HOME/bin/id ]] && ln -s /usr/bin/id $HOME/bin/id
    [[ ! -f $HOME/bin/google-auth ]] && ln -s /usr/bin/google-authenticator $HOME/bin/google-auth
    [[ ! -f $HOME/bin/grep ]] && ln -s /usr/bin/grep $HOME/bin/grep
    [[ ! -f $HOME/bin/figlet ]] && ln -s /usr/bin/figlet $HOME/bin/figlet
    [[ ! -f $HOME/bin/rebel.tlf ]] && ln -s /usr/share/figlet/rebel.tlf $HOME/bin/rebel.tlf
    [[ ! -f $HOME/bin/sleep ]] && ln -s /usr/bin/sleep $HOME/bin/sleep
  # Set PATH env to <home user directory>/bin
    PATH=$HOME/bin
    export PATH
  else
    PATH=PATH=$PATH:$HOME/.local/bin:$HOME/bin
    export PATH
fi


if [[ -n $(id $USER | grep "domain users") ]]
  then
    if [[ ! -e $HOME/.google_authenticator ]]
      then
        if [[ -n $(id $USER | grep "admins") ]]
          then
            figlet -t -f $HOME/bin/rebel.tlf "Welcome to Company GAuth setup portal"
            sleep 1.5
            echo "Please, run any of these software on your device, where you would like to setup OTP:
Google Autheticator:
AppStore - https://apps.apple.com/us/app/google-authenticator/id388497605
Play Market - https://play.google.com/stor/apps/details?id=com.google.android.apps.authenticator2&hl=en
FreeOTP:
AppStore - https://apps.apple.com/us/app/freeotp-authenticator/id872559395
Play Market - https://play.google.com/store/apps/details?id=org.fedorahosted.freeotp&hl=en

And prepare to scan QR code.

"
            sleep 5
            google-auth -f -t -w 3 -r 3 -R 30 -d -e 1
            echo "Congratulations, now you can use an OTP token from application as a password connecting to VPN."
          else
            figlet -t -f $HOME/bin/rebel.tlf "Welcome to Company GAuth setup portal"
            sleep 1.5
            echo "Please, run any of these software on your device, where you would like to setup OTP:
Google Autheticator:
AppStore - https://apps.apple.com/us/app/google-authenticator/id388497605
Play Market - https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2&hl=en
FreeOTP:
AppStore - https://apps.apple.com/us/app/freeotp-authenticator/id872559395
Play Market - https://play.google.com/store/apps/details?id=org.fedorahosted.freeotp&hl=en

And prepare to scan QR code.

"
            sleep 5
            google-auth -f -t -w 3 -r 3 -R 30 -d -e 1
            echo "Congratulations, now you can use an OTP token from application as a password to VPN."
            logout
        fi
      else
        echo "You have already setup a Google Authenticator"
        if [[ -z $(id $USER | grep "admins") ]]
          then
          logout
        fi
    fi
  else
    echo "You don't need to set up a Google Authenticator"
fi

ਫੋਰਟੀਗੇਟ ਸੈੱਟਅੱਪ:

• ਅਸੀਂ ਬਣਾਉਂਦੇ ਹਾਂ ਵਿਆਸ-ਸਰਵਰ

  

• ਅਸੀਂ ਲੋੜੀਂਦੇ ਸਮੂਹ ਬਣਾਉਂਦੇ ਹਾਂ, ਜੇ ਲੋੜ ਹੋਵੇ, ਸਮੂਹਾਂ ਦੁਆਰਾ ਪਹੁੰਚ ਨਿਯੰਤਰਣ. ਗਰੁੱਪ ਦਾ ਨਾਮ ਚਾਲੂ ਹੈ ਤਕਦੀਰ ਪਾਸ ਕੀਤੇ ਗਏ ਸਮੂਹ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਵਿਕਰੇਤਾ ਵਿਸ਼ੇਸ਼ ਗੁਣ Fortinet-ਸਮੂਹ-ਨਾਮ.

  

• ਜ਼ਰੂਰੀ ਸੰਪਾਦਨ SSL ਨੂੰ-ਪੋਰਟਲ।

  

• ਨੀਤੀਆਂ ਵਿੱਚ ਗਰੁੱਪਾਂ ਨੂੰ ਸ਼ਾਮਲ ਕਰਨਾ।

  

ਇਸ ਹੱਲ ਦੇ ਫਾਇਦੇ:

• 'ਤੇ OTP ਦੁਆਰਾ ਪ੍ਰਮਾਣਿਤ ਕਰਨਾ ਸੰਭਵ ਹੈ ਤਕਦੀਰ ਓਪਨ ਸੋਰਸ ਹੱਲ.
• VPN ਦੁਆਰਾ ਕਨੈਕਟ ਕਰਨ ਵੇਲੇ ਉਪਭੋਗਤਾ ਇੱਕ ਡੋਮੇਨ ਪਾਸਵਰਡ ਦਾਖਲ ਨਹੀਂ ਕਰਦਾ ਹੈ, ਜੋ ਕਿ ਕੁਨੈਕਸ਼ਨ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਕੁਝ ਹੱਦ ਤੱਕ ਸਰਲ ਬਣਾਉਂਦਾ ਹੈ। ਸੁਰੱਖਿਆ ਨੀਤੀ ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਕੀਤੇ ਪਾਸਵਰਡ ਨਾਲੋਂ 6-ਅੰਕ ਦਾ ਪਾਸਵਰਡ ਦਾਖਲ ਕਰਨਾ ਆਸਾਨ ਹੈ। ਨਤੀਜੇ ਵਜੋਂ, ਵਿਸ਼ੇ ਨਾਲ ਟਿਕਟਾਂ ਦੀ ਗਿਣਤੀ: "ਮੈਂ VPN ਨਾਲ ਕਨੈਕਟ ਨਹੀਂ ਕਰ ਸਕਦਾ" ਘਟਦਾ ਹੈ।

PS ਅਸੀਂ ਇਸ ਹੱਲ ਨੂੰ ਚੁਣੌਤੀ-ਜਵਾਬ ਦੇ ਨਾਲ ਇੱਕ ਪੂਰੀ ਤਰ੍ਹਾਂ ਨਾਲ ਦੋ-ਕਾਰਕ ਪ੍ਰਮਾਣਿਕਤਾ ਲਈ ਅੱਪਗਰੇਡ ਕਰਨ ਦੀ ਯੋਜਨਾ ਬਣਾ ਰਹੇ ਹਾਂ।

ਅੱਪਡੇਟ:

ਜਿਵੇਂ ਕਿ ਵਾਅਦਾ ਕੀਤਾ ਗਿਆ ਸੀ, ਮੈਂ ਇਸਨੂੰ ਚੁਣੌਤੀ-ਜਵਾਬ ਵਿਕਲਪ ਵਿੱਚ ਟਵੀਕ ਕੀਤਾ.
ਇਸ ਤਰ੍ਹਾਂ:
ਫਾਈਲ ਵਿੱਚ /etc/raddb/sites-enabled/default ਅਨੁਭਾਗ ਅਧਿਕਾਰਤ ਇਸ ਤਰ੍ਹਾਂ ਦਿੱਸਦਾ ਹੈ:

authorize {
    filter_username
    preprocess
    auth_log
    chap
    mschap
    suffix
    eap {
        ok = return
    }
    files
    -sql
    #-ldap
    expiration
    logintime
    if (!State) {
        if (&User-Password) {
            # If !State and User-Password (PAP), then force LDAP:
            update control {
                Ldap-UserDN := "%{User-Name}"
                Auth-Type := LDAP
            }
        }
        else {
            reject
        }
    }
    else {
        # If State, then proxy request:
        group_authorization
    }
pap
}

ਅਨੁਭਾਗ ਪ੍ਰਮਾਣਿਤ ਹੁਣ ਇਸ ਤਰ੍ਹਾਂ ਦਿਸਦਾ ਹੈ:

authenticate {
        Auth-Type PAP {
                pap
        }
        Auth-Type CHAP {
                chap
        }
        Auth-Type MS-CHAP {
                mschap
        }
        mschap
        digest
        # Attempt authentication with a direct LDAP bind:
        Auth-Type LDAP {
        ldap
        if (ok) {
            update reply {
                # Create a random State attribute:
                State := "%{randstr:aaaaaaaaaaaaaaaa}"
                Reply-Message := "Please enter OTP"
                }
            # Return Access-Challenge:
            challenge
            }
        }
        pam
        eap
}

ਹੁਣ ਉਪਭੋਗਤਾ ਤਸਦੀਕ ਨਿਮਨਲਿਖਤ ਐਲਗੋਰਿਦਮ ਦੇ ਅਨੁਸਾਰ ਹੁੰਦੀ ਹੈ:

• ਉਪਭੋਗਤਾ VPN ਕਲਾਇੰਟ ਵਿੱਚ ਡੋਮੇਨ ਕ੍ਰੈਡਿਟ ਦਾਖਲ ਕਰਦਾ ਹੈ।
• Freeradius ਖਾਤੇ ਅਤੇ ਪਾਸਵਰਡ ਦੀ ਵੈਧਤਾ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ
• ਜੇਕਰ ਪਾਸਵਰਡ ਸਹੀ ਹੈ, ਤਾਂ ਟੋਕਨ ਲਈ ਬੇਨਤੀ ਭੇਜੀ ਜਾਂਦੀ ਹੈ।
• ਟੋਕਨ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ।
• ਲਾਭ).

ਸਰੋਤ: www.habr.com