Integratsioonid · Linux SSH
Linuxi SSH 2FA pam_radiuse ja telefonikinnitusega
Meeskondadele, kes haldavad Linuxi servereid SSH kaudu ja soovivad, et iga shell, sudo ja su nõuaks lisaks paroolile kinnitust telefonis. Linuxi PAM-il on standardne RADIUS-moodul; suunake see Notakey auth-proxyle ja kogu serveripark liitub sama lahendusega, mis kaitseb teie VPN-i.
Kuidas see ühendub
PAM, RADIUS, proksi: serverisse midagi muud ei lisandu
sshd ja sudo autendivad PAM-i kaudu. Moodul pam_radius saadab kasutajanime ja parooli RADIUS-e kaudu Notakey auth-proxyle; proksi edastab paroolikontrolli teie RADIUS-serverile, saadab kasutaja telefoni kinnituspäringu ja tagastab Access-Accept alles siis, kui mõlemad õnnestuvad. Juhend käsitleb Debiani/Ubuntut ja paketti libpam-radius-auth; RHEL-i perekonna distributsioonides on moodul pakendatud nimega pam_radius ja PAM-i failid asuvad samas /etc/pam.d/ struktuuris.
Kui moodul on seatud väärtusele sufficient, logib Access-Accept kasutaja kohe sisse ja kõik muu langeb tagasi tavalisele kohalikule paroolikontrollile. Teie hädaolukorra administraatoril on puhtalt kohalik parool; kõik teised võib luua ilma selleta. Nende ainus sissepääs on siis RADIUS proksi kaudu, mis tähendab parooli ja telefonikinnitust, ning kohapeal pole midagi, mida jõuga murda.
Sama proksi ja RADIUS-server, mis juba kaitsevad VPN-i ja ruuteri haldust, teenindavad ka Linuxi serveriparki. Proksi poolel ei muutu midagi.
Mida enne alustamist teada
- Mooduli vaikimisi ajalimiit on 3 sekundit. Määrake see vähemalt proksi vpn_message_ttl väärtuseni (30 sekundit); 60 jätab mugava varu. Kohene ebaõnnestumine ilma tõuketeavituseta tähendab tavaliselt valet ajalimiiti või jagatud saladust.
- SSH avaliku võtmega sisselogimine jätab PAM-i autentimisfaasi täielikult vahele, nii et võtmega sisselogimine tõuketeavitust ei käivita. Kui soovite võtit koos tõuketeavitusega, määrake AuthenticationMethods publickey,keyboard-interactive ja katsetage seda varianti eraldi.
- Parool liigub serveri ja proksi vahel PAP-kujul. Hoidke see ühendus haldusvõrgus või käivitage proksi konteinerina samas masinas.
- Sama kasutajanimi peab olema olemas allavoolu RADIUS-serveris, Notakey teenuses koos registreeritud telefoniga ning kohaliku või kataloogikontona Linuxi masinas. PAM ainult autendib; sisselogimiseks vajab kasutaja ikkagi kontot.
- Kui kaitsete sudot, küsib iga sudo kinnitust telefonist. Sudo sisselogimisandmete vahemälu teeb selle talutavaks.
- sshd vajab seadeid UsePAM yes ja KbdInteractiveAuthentication yes; Debianis/Ubuntus on mõlemad vaikimisi sees.
Nullist esimese kinnituseni
- 01
Seadistage kõigepealt varuväljapääs
Enne PAM-i puutumist andke root-kasutajale või spetsiaalsele hädaolukorra halduskontole tugev kohalik parool ja kontrollige seda konsoolist. Seadistus langeb alati tagasi kohalikele paroolidele, nii et see konto on teie sissepääs, kui proksi, RADIUS või võrk on maas.
- 02
Paigaldage pam_radius ja suunake see proksile
Paigaldage libpam-radius-auth, lisage faili /etc/pam_radius_auth.conf üks rida proksi aadressi, proksi seadega vpn_secret_in kattuva jagatud saladuse ja 60-sekundilise ajalimiidiga ning piirake faili õigused režiimile 0600.
- 03
Lülitage see PAM-is sisse ja katsetage teisest terminalist
Lisage rida auth sufficient pam_radius_auth.so faili /etc/pam.d/sshd (ja soovi korral sudo, su või login) common-auth kaasamise kohale, lisage common-auth failis pam_unix reale try_first_pass, seejärel logige teisest terminalist SSH kaudu sisse RADIUS-kasutajanimega ja kinnitage tõuketeavitus. Enne algse seansi sulgemist veenduge, et hädaolukorra konto endiselt töötab.
Korduma kippuvad küsimused
- Kas ma lukustan end välja, kui proksi või RADIUS on maas?
- Ei, kui hoiate alles kohaliku parooliga hädaolukorra administraatori. pam_radius on seatud väärtusele sufficient, nii et iga vastus peale Access-Accept langeb tagasi tavalisele kohalikule paroolikontrollile.
- Kas SSH-võtmega sisselogimine käivitab tõuketeavituse?
- Ei. Avaliku võtmega sisselogimine jätab PAM-i autentimisfaasi täielikult vahele. Kui soovite võtit koos tõuketeavitusega, määrake AuthenticationMethods publickey,keyboard-interactive ja katsetage seda varianti eraldi.
- Milliseid Linuxi distributsioone juhend käsitleb?
- Debiani ja Ubuntut koos paketiga libpam-radius-auth. RHEL-i perekonna distributsioonides on moodul pakendatud nimega pam_radius ja PAM-i failid asuvad samas /etc/pam.d/ struktuuris.