Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!

Ogłoszenie

Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundację Dzieciom „Zdążyć z Pomocą”.
Więcej informacji na dug.net.pl/pomagamy/.

#1 2018-03-15 14:47:13

life
Użytkownik
Zarejestrowany: 2009-10-30

Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

Cześć.
mam problem z połączeniem openvpn przy uwierzytelnieniu za pomocą loginu i hasła. Na certyfikatach dla klienta działa bez problemu, ale chciałbym mieć możliwość uwieżytleniać się za pomocą usera i hasła.

W logach przy połączeniu leci tak:

Thu Mar 15 14:32:30 2018 library versions: OpenSSL 1.1.0f  25 May 2017, LZO 2.10
Thu Mar 15 14:32:30 2018 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25341
Thu Mar 15 14:32:30 2018 Need hold release from management interface, waiting...
Thu Mar 15 14:32:30 2018 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25341
Thu Mar 15 14:32:30 2018 MANAGEMENT: CMD 'state on'
Thu Mar 15 14:32:30 2018 MANAGEMENT: CMD 'log all on'
Thu Mar 15 14:32:30 2018 MANAGEMENT: CMD 'echo all on'
Thu Mar 15 14:32:30 2018 MANAGEMENT: CMD 'bytecount 5'
Thu Mar 15 14:32:30 2018 MANAGEMENT: CMD 'hold off'
Thu Mar 15 14:32:30 2018 MANAGEMENT: CMD 'hold release'
Thu Mar 15 14:32:35 2018 MANAGEMENT: CMD 'username "Auth" "nazwausera"'
Thu Mar 15 14:32:35 2018 MANAGEMENT: CMD 'password [...]'
Thu Mar 15 14:32:35 2018 Outgoing Control Channel Authentication: Using 512 bit message hash 'SHA512' for HMAC authentication
Thu Mar 15 14:32:35 2018 Incoming Control Channel Authentication: Using 512 bit message hash 'SHA512' for HMAC authentication
Thu Mar 15 14:32:35 2018 TCP/UDP: Preserving recently used remote address: [AF_INET]XXX.YYY.ZZZ.VVV:1194
Thu Mar 15 14:32:35 2018 Socket Buffers: R=[65536->65536] S=[65536->65536]
Thu Mar 15 14:32:35 2018 UDP link local: (not bound)
Thu Mar 15 14:32:35 2018 UDP link remote: [AF_INET]XXX.YYY.ZZZ.VVV:1194
Thu Mar 15 14:32:35 2018 MANAGEMENT: >STATE:1521120755,WAIT,,,,,,
Thu Mar 15 14:32:37 2018 MANAGEMENT: >STATE:1521120757,AUTH,,,,,,
Thu Mar 15 14:32:37 2018 TLS: Initial packet from [AF_INET]XXX.YYY.ZZZ.VVV:1194, sid=3f0520b6 9fe98125
Thu Mar 15 14:32:37 2018 WARNING: this configuration may cache passwords in memory — use the auth-nocache option to prevent this
Thu Mar 15 14:32:37 2018 VERIFY OK: depth=1, C=PL, ST=KW, L=jakiesmiasto, O=mojanaza, OU=mojanaza, CN=mojanaza CA, name=VPNServer, emailAddress=info@mojanaza
Thu Mar 15 14:32:37 2018 VERIFY KU OK
Thu Mar 15 14:32:37 2018 Validating certificate extended key usage
Thu Mar 15 14:32:37 2018 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
Thu Mar 15 14:32:37 2018 VERIFY EKU OK
Thu Mar 15 14:32:37 2018 VERIFY OK: depth=0, C=PL, ST=KW, L=jakiesmiasto, O=mojanaza, OU=mojanaza, CN=server, name=VPNServer, emailAddress=info@mojanaza

W tym momencie staje po czym wypluwa:

Thu Mar 15 14:33:35 2018 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Thu Mar 15 14:33:35 2018 TLS Error: TLS handshake failed

Jak wspomniałem przy uwierzytelnieniu certyfikatem klienta nie ma problemu.

Plik konfiguracyjny klienta:

Kod:

client
auth-user-pass
dev tun
proto udp
remote xxx.yyy.zzz.vvv 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
remote-cert-tls server
tls-auth ta.key 1
cipher AES-256-CBC
auth SHA512
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-256-CBC-SHA:TLS-DHE-RSA-WITH-CAMELLIA-256-CBC-SHA:TLS-DHE-RSA-WITH-AES-128-CBC-SHA:TLS-DHE-RSA-WITH-CAMELLIA-128-CBC-SHA
verb 3

Konfig serwera:

Kod:

local xxx.yyy.zzz.vvv
port 1194
rroto udp
dev tun
ca /etc/openvpn/certs/keys/ca.crt
cert /etc/openvpn/certs/keys/server.crt
key /etc/openvpn/certs/keys/server.key
dh dh4096.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
client-to-client
keepalive 10 120
tls-auth /etc/openvpn/certs/keys/ta.key 0 # This file is secret
cipher AES-256-CBC
auth SHA512
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AE$
user openvpn
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log
log-append  /var/log/openvpn.log
verb 3
explicit-exit-notify 1
client-cert-not-required
username-as-common-name
plugin /usr/lib/openvpn/openvpn-plugin-auth-pam.so "/etc/pam.d/openvpn"
tmp-dir /tmp

próbowałem też dla kont systemowych parametr do pluginu pam-a /etc/pam.d/login ale też bez efektu

Jak ktoś będzie miał jakiś pomysł będę wdzięczny.

--- EDIT ---

Dobra doszedłem do tego że działa albo na certyfikatach albo na uwierzytelnianiu user/pass . Jednocześnie tak i tak póki co nie chce działać ,... ale jeszcze powalczę :)

Ostatnio edytowany przez life (2018-03-15 20:45:05)

Offline

 

#2 2018-03-16 16:59:06

hi
alkoholik
Skąd: Lechistan
Zarejestrowany: 2016-03-24

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

pusta linia auth-user-pass podaj ścieżkę bezwzględną do tego pasa :)

pliczek login.conf

Kod:

login
pass

Ostatnio edytowany przez hi (2018-03-16 16:59:24)


Ci, którzy potrafią postępować niekonwencjonalnie, są nieskończeni niczym niebo i ziemia, niewyczerpani niczym wielkie rzeki. Gdy nadchodzi ich koniec, zaczynają się znowu, jak dni i miesiące. Umierają i rodzą się na nowo, niczym cztery pory roku.

Offline

 

#3 2018-03-16 18:00:25

morfik
Cenzor wirtualnego świata
Skąd: ze WSI
Zarejestrowany: 2011-09-15
Serwis

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

Czytajcie man openvpn: xD

--auth-user-pass [up]
              Authenticate with server using username/password.  up is a file containing username/password on 2 lines. If the  password  line
              is missing, OpenVPN will prompt for one.

              If up is omitted, username/password will be prompted from the console.

              The server configuration must specify an --auth-user-pass-verify script to verify the username/password provided by the client.

Offline

 

#4 2018-03-16 18:09:31

hi
alkoholik
Skąd: Lechistan
Zarejestrowany: 2016-03-24

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

czasami man nie pomaga trzeba DUŻYMI NAPISAĆ :)


Ci, którzy potrafią postępować niekonwencjonalnie, są nieskończeni niczym niebo i ziemia, niewyczerpani niczym wielkie rzeki. Gdy nadchodzi ich koniec, zaczynają się znowu, jak dni i miesiące. Umierają i rodzą się na nowo, niczym cztery pory roku.

Offline

 

#5 2018-03-17 01:03:59

life
Użytkownik
Zarejestrowany: 2009-10-30

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

zapisywanie hasla jawnym tekstem w pliku to jakas porazka po to sa certyfikaty, a lionia bez parametru (wskazania pliku) wymaga podania go z palca.
uwierzytelnianie za pomocą loginu i hasła działa zarówno na użytkownikach systemowych (/etc/pam.d/login) jak i prosty system virtualuser gdzie w pliku trzymany jest login i hash hasła.

nie mogłem jedynie poradzić sobie by funkcjonowały dwie metody równocześnie (certyfikaty i login/pass).

Ale nie drążę teamtu bo znalazłęm metodę na tymczasowe "blokowanie" certyfikatów a nie stałe (revoke) więc ta metoda pozwala czasowo dobierać dostęp do VPN-a.

Offline

 

#6 2018-03-18 13:46:50

hi
alkoholik
Skąd: Lechistan
Zarejestrowany: 2016-03-24

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

life napisał(-a):

zapisywanie hasla jawnym tekstem w pliku to jakas porazka

a co za problem nadać chmod'a na pliczek, po to masz atrybuty żeby z nich korzystać :)


Ci, którzy potrafią postępować niekonwencjonalnie, są nieskończeni niczym niebo i ziemia, niewyczerpani niczym wielkie rzeki. Gdy nadchodzi ich koniec, zaczynają się znowu, jak dni i miesiące. Umierają i rodzą się na nowo, niczym cztery pory roku.

Offline

 

#7 2018-03-19 11:16:03

life
Użytkownik
Zarejestrowany: 2009-10-30

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

hi napisał(-a):

life napisał(-a):

zapisywanie hasla jawnym tekstem w pliku to jakas porazka

a co za problem nadać chmod'a na pliczek, po to masz atrybuty żeby z nich korzystać :)

wiesz co nawet nie próbuj mnie przekonywać że trzymanie hasła w pliku tekstowym jawnym tekstem to nic złego!

to może tak na szybko jako to problem ... a no taki że zbootuje się z USB albo CD i twoje chmody o kant d... :)

Offline

 

#8 2018-03-19 13:06:43

morfik
Cenzor wirtualnego świata
Skąd: ze WSI
Zarejestrowany: 2011-09-15
Serwis

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

A o szyfrowaniu dysku to słyszał? xD

Offline

 

#9 2018-03-19 17:37:13

life
Użytkownik
Zarejestrowany: 2009-10-30

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

Panowie ale jaki ma to związek z tematem? ... żaden
tak o szyfrowaniu słyszał co nie znaczy że na szyfrowanym dysku/partycji trzymanie hasła w plaintext jest bezpieczne, root albo każdy inny proces odpaloany z prawami właściciela ma możliwość odczytania tego hasła to już stwarza spore możliwości ...
to tak samo jak by wstawić sobie do domu pancerne drzwi z atestami, równie bezpieczne zamki a klucze trzymać pod wycieraczką ... taki ma to sens

Ostatnio edytowany przez life (2018-03-19 17:38:14)

Offline

 

#10 2018-03-19 19:31:12

morfik
Cenzor wirtualnego świata
Skąd: ze WSI
Zarejestrowany: 2011-09-15
Serwis

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

A ten proces z prawami root to ci nie odczyta znaków z klawiatury i nie nawiąże połączenia ze zdalnym serwerem, by wysłać te twoje przyciśnięcia klawiszy przypadkiem? xD Sam widzisz, że jak coś uzyska dostęp root, to nic nie jest bezpieczne -- tylko niech go najpierw uzyska. xD A odczytać znaki z klawiatury to potrafi każda appka, która jest odpalona jako twój użytkownik, czyli potencjalnie to łatwiej jest te twoje hasełka wpisane z palca przechwycić niż hasła zapisane w pliku będące pod ochroną root, i co ciekawe w tym pierwszym przypadku nawet się nie dowiesz o tym, że ktoś zarejestrował te przyciśnięcia, a logowanie na roota, to już bruździ w logu systemowym.

I tak, tego tupu gadanie nie ma kompletnie związku z tematem wątku ale to nie ja zacząłem porównywać bezpieczeństwo jednego i drugiego rozwiązania.

Offline

 

#11 2018-03-22 01:38:45

hi
alkoholik
Skąd: Lechistan
Zarejestrowany: 2016-03-24

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

człowieku zaszyfruj sobie dyski a dostępy masz na rocie ootb w każdym linuksie jak je rozdasz twoja sprawa a jak Ci mało to na obudowę kłódka z podpięciem do usbx220V
https://youtu.be/Q6bApDXbwGg?t=1m59s
no serio nie łatwo dostać nieautyrozywanego roota na takim Debianie no **** jest to baaaaaaaardzo trudene
dostanie się do zaszyfrowanych dyziów LUKS-em jest też niemożliwe
do tego masz palącą niespodziankę dla chujków, którzy chcieli się dostać do Twoich cyfrowych sekretów:)
fajnie co nie i zadziała, bardzo prosto taki guziczek na obudowie założyć a i efektowny :) miny psem śmierdzących ynformatyków przy otwieraniu bezcenne (maszyna nie musi być wpięta do sieci) :)

to tyle o chujkach wykorzystujących swoje umiejętności przeciwko nam
https://pl.wikipedia.org/wiki/Anarchizm_indywidualistyczny

Noam Chomsky prawicowe katolickie tępe chujki
https://pl.wikipedia.org/wiki/Noam_Chomsky

tak posłuchajcie mądrego człowieka robaczki ... zamiast tych swoich idolków na youtubie
https://www.youtube.com/watch?v=q41nzYj5-Jg

chuja wiecie o anarchii dlatego się jej tak boicie, boicie się jej bo boicie się siebie a bardziej tego co zrobiłby bliźni wam, dlatego się bicue anarchii bo system wam wklepał do głowy, że ludzie są źli ...

i na dobranoc: klasyk
https://www.youtube.com/watch?v=taMVXGamKWs

Ostatnio edytowany przez hi (2018-03-22 03:28:06)


Ci, którzy potrafią postępować niekonwencjonalnie, są nieskończeni niczym niebo i ziemia, niewyczerpani niczym wielkie rzeki. Gdy nadchodzi ich koniec, zaczynają się znowu, jak dni i miesiące. Umierają i rodzą się na nowo, niczym cztery pory roku.

Offline

 

Stopka forum

Powered by PunBB
© Copyright 2002–2005 Rickard Andersson
Możesz wyłączyć AdBlock — tu nie ma reklam ;-)