DeswegenVerknüpfungUm die Benutzer-/Passwort-Authentifizierung zu erhalten, sollte die folgende Zeile zur Serverkonfigurationsdatei hinzugefügt werden.
plugin /usr/share/openvpn/plugin/lib/openvpn-auth-pam.so login
Aber der Link erwähnt nicht, wie die Datei logingefüllt werden soll.
Ich verwende Ubuntu 18.04.
Antwort1
PAM steht für eineSteckbare Authentifizierungsmoduleist ein Framework für die Systemauthentifizierung und -autorisierung. Es kann Dateien, Datenbanken oder alles andere verwenden, was Sie als Passwortspeicher konfiguriert haben. Es kann sogar andere Dinge als Passwörter zur Authentifizierung verwenden (z. B. OTP usw.); es kann eine Zwei-Faktor-Authentifizierung durchführen, eine Verbindung zu externen vertrauenswürdigen Dritten herstellen (wie Kerberos) usw. Im einfachsten Fall verwendet es einSchattenDatei zum Speichern verschlüsselter Passwörter für Systembenutzer.
openvpn-auth-pamMit diesem Modul können Sie OpenVPN-Peers mithilfe dieses Systemauthentifizierungsframeworks authentifizieren. loginHier ist der PAM-Dienst gemeint, den Ihr OpenVPN verwenden wird. Wahrscheinlich haben Sie bereits einige Dienste, wie system-authsie für lokale Benutzer verwendet werden. Sehen Sie sich /etc/pam.d/die Dateien an, um ein Gefühl dafür zu bekommen, wie PAM konfiguriert ist, und lesen Sie auch die Handbücher.
Sie werden feststellen, dass der loginDienst standardmäßig nur auf verweist system-auth. Um dies so zu verwenden, wie es ist, erstellen Sie zuerst lokale Systembenutzer und legen deren Kennwörter fest. Fügen Sie dann --auth-user-passden Client-Konfigurationen eine Option hinzu, entweder mit dem Dateinamen der Anmeldeinformationen oder nackt (dann werden die Anmeldeinformationen interaktiv abgefragt). man openvpnWeitere Informationen finden Sie unter.
Denken Sie schließlich daran, immer zuerst eine zertifikatsbasierte Authentifizierung zu verwenden. Jeder VPN-Peer muss über sein eigenes, eindeutiges Zertifikat/Schlüsselpaar verfügen. Die Benutzername/Passwort-Authentifizierung sollte nur als zusätzliche Sicherheitsmaßnahme betrachtet werden. Und verwenden Sie besser nicht die Funktion „duplicate-cn“.