Integrációk · Linux SSH
Linux SSH 2FA pam_radius-szal és telefonos jóváhagyással
Azoknak a csapatoknak, amelyek SSH-n keresztül adminisztrálnak Linux-szervereket, és azt szeretnék, hogy minden shell, sudo és su a jelszó mellett telefonos jóváhagyást is kérjen. A Linux PAM-nak van szabványos RADIUS-modulja; irányítsa a Notakey auth-proxyra, és a teljes szerverpark ugyanabba a rendszerbe kerül, mint a VPN.
Hogyan csatlakozik
PAM-ból RADIUS-on át a proxyig, semmi más a szerveren
Az sshd és a sudo a PAM-on keresztül hitelesít. A pam_radius modul RADIUS-on elküldi a felhasználónevet és a jelszót a Notakey auth-proxynak; a proxy a jelszóellenőrzést továbbítja az Ön RADIUS-szerverének, jóváhagyási kérést küld a felhasználó telefonjára, és csak akkor ad vissza Access-Acceptet, ha mindkettő sikeres. Az útmutató a Debiant/Ubuntut tárgyalja a libpam-radius-auth csomaggal; a RHEL-családba tartozó disztribúciókon a modul pam_radius néven érhető el, a PAM-fájlok pedig ugyanabban a /etc/pam.d/ szerkezetben vannak.
Ha a modul sufficient beállítású, az Access-Accept azonnal beengedi a felhasználót, minden más esetben pedig a szokásos helyi jelszóellenőrzés következik. A vészhelyzeti adminisztrátor tisztán helyi jelszót tart meg, mindenki más jelszó nélkül hozható létre. Nekik ezután az egyetlen bejutási útjuk a proxyn átmenő RADIUS, vagyis jelszó és telefonos jóváhagyás, helyben pedig nincs mit nyers erővel feltörni.
Ugyanaz a proxy és RADIUS-szerver, amely már a VPN-t és a router felügyeleti felületét védi, a Linux-szerverparkot is kiszolgálja. A proxy oldalán semmi sem változik.
Amit érdemes tudni, mielőtt belekezd
- A modul alapértelmezett időkorlátja 3 másodperc. Állítsa legalább a proxy vpn_message_ttl értékére (30 másodperc); a 60 kényelmes tartalékot ad. Ha a bejelentkezés azonnal meghiúsul push értesítés nélkül, az többnyire hibás időkorlátra vagy megosztott titokra utal.
- Az SSH nyilvános kulcsos bejelentkezése teljesen kihagyja a PAM hitelesítési fázisát, így a kulcsalapú belépés nem indít push értesítést. Ha kulcsot és push értesítést is szeretne, állítsa be az AuthenticationMethods publickey,keyboard-interactive opciót, és ezt a változatot külön tesztelje.
- A jelszó PAP-ként utazik a szerver és a proxy között. Ez a kapcsolat legyen felügyeleti hálózaton, vagy futtassa a proxyt konténerként magán a gépen.
- Ugyanannak a felhasználónévnek léteznie kell a mögöttes RADIUS-szerveren, a Notakey-szolgáltatásban regisztrált telefonnal, valamint helyi vagy címtárfiókként a Linux-gépen. A PAM csak hitelesít; a felhasználónak továbbra is szüksége van egy fiókra, amelybe beléphet.
- Ha a sudo is védett, minden sudo a telefonhoz fordul. A sudo hitelesítési gyorsítótára ezt elviselhetővé teszi.
- Az sshd-nek UsePAM yes és KbdInteractiveAuthentication yes beállítás kell; Debianon/Ubuntun mindkettő alapértelmezett.
A nulláról az első jóváhagyásig
- 01
Először gondoskodjon vészkijáratról
Mielőtt a PAM-hoz nyúlna, adjon a rootnak vagy egy külön vészhelyzeti admin fióknak erős helyi jelszót, és próbálja ki a konzolon. A konfiguráció mindig visszavált a helyi jelszavakra, így ezzel a fiókkal juthat be, ha a proxy, a RADIUS vagy a hálózat nem működik.
- 02
Telepítse a pam_radius modult, és irányítsa a proxyra
Telepítse a libpam-radius-auth csomagot, vegyen fel egy sort a /etc/pam_radius_auth.conf fájlba a proxy címével, a proxy vpn_secret_in értékéhez tartozó megosztott titokkal és 60 másodperces időkorláttal, majd korlátozza a fájl jogosultságát 0600-ra.
- 03
Engedélyezze a PAM-ban, és teszteljen egy második terminálból
Vegye fel az auth sufficient pam_radius_auth.so sort a common-auth include fölé a /etc/pam.d/sshd fájlban (és igény szerint a sudo, su vagy login fájlban), adja hozzá a try_first_pass opciót a common-auth pam_unix sorához, majd lépjen be SSH-n egy második terminálból egy RADIUS-felhasználónévvel, és hagyja jóvá a push értesítést. Mielőtt bezárná az eredeti munkamenetet, ellenőrizze, hogy a vészhelyzeti fiók továbbra is működik.
Gyakran ismételt kérdések
- Kizárhatom magam a gépből, ha a proxy vagy a RADIUS nem érhető el?
- Nem, ha megtart egy helyi jelszóval rendelkező vészhelyzeti admin fiókot. A pam_radius sufficient beállítású, így minden, ami nem Access-Accept, a szokásos helyi jelszóellenőrzéshez jut tovább.
- Indít push értesítést az SSH-kulcsos bejelentkezés?
- Nem. A nyilvános kulcsos bejelentkezés teljesen kihagyja a PAM hitelesítési fázisát. Ha kulcsot és push értesítést is szeretne, állítsa be az AuthenticationMethods publickey,keyboard-interactive opciót, és ezt a változatot külön tesztelje.
- Mely Linux-disztribúciókat tárgyalja az útmutató?
- A Debiant és az Ubuntut a libpam-radius-auth csomaggal. A RHEL-családba tartozó disztribúciókon a modul pam_radius néven érhető el, a PAM-fájlok pedig ugyanabban a /etc/pam.d/ szerkezetben vannak.