Forum Debian Users Gang

Chyba przekombinowałeś trochę:

cat /etc/pam.d/xmpp
auth required /lib64/security/pam_mysql.so user=USER_BAZY passwd=HASEŁKO_DO_BAZY host=localhost db=bazaauth table=pacjenci usercolumn=username passwdcolumn=password crypt=0
account required /lib64/security/pam_mysql.so user=USER_BAZY passwd=HASEŁKO_DO_BAZY host=localhost db=bazaauth table=pacjenci usercolumn=username passwdcolumn=password crypt=0

Pam_Mysql, Salsauthd i Prosody, wszystko działa bez problemu.

Podejrzewam, że identycznie musisz zrobić z Postgresem.

Poza tym pam_*sql nieźle się sprawdza przy serwerze poczty, uwierzytelnieniu przez serwer www, ftp czy jabbera, ale logowanie po SSH bym zostawił przy standardowej autoryzacji Linuxa.

Wystarczy uceglenie serwera SQL albo bazy z autoryzacją przez badsektor na dysku,
i możesz uceglić cały system, jeśli całą autoryzację zostawisz na jednym serwerze SQL.
Także lepiej z tym uważać.

Pozdro

Ostatnio edytowany przez Jacekalex (2019-02-12 16:51:40)

Pewnie pam_pgsql koliduje z innymi modułami pam.
Może chodzi o pam_systemd czy coś innego.

Dlatego pam_*sql się używa tylko do lekkich usług niezbyt krytycznych.

Trzymanie kont systemowych na pam_*sql to więcej potencjalnych kłopotów niż realnych korzyści.

Jeśli natomiast chciałbyś na jednym haśle pocztę, jabbera, webmaila na serwerze http i serwer ftp, to wtedy owszem, pam-*sql jest idealnym rozwiązaniem, prostym i skutecznym.

Jak koniecznie upierasz się przy autoryzacji w bazie SQL, to raczej postaw Radiusa ze wsparciem SQL i autoryzację pam_radius.
To powinno zaskoczyć podobnie jak Samba.

I pam-sql nie jest zapomniany, ale żaden rozumny administrator serwera nie używa go do autoryzacji systemowej, bo do SSH używa się kluczy SSH, natomiast do powłoki systemu się lamerów nie wpuszcza, żeby kłopotów nie narobili.

Ostatnio edytowany przez Jacekalex (2019-02-12 17:08:00)

Jak pam-postgres nie funguje, to zobacz pam_mysql, phpmyadmin działa lepiej do phppgadmin, w praktycznym działaniu różnicy nie odczujesz żadnej, poza tym, że Mysql jest przeważnie szybszy w działaniu od Postgresa, za to potrzebuje więcej RAM, bo cała jego szybkość wynika z buforowania w RAM jak największej liczby tablic.

Wiąże się to z minimalnym zagrożeniem integralnosci danych w razie nagłej i niespodziewanej utraty zasilania spowodowanej atakiem termojądrowym, ale jak możesz postawić kilka serwerów, czy robić regularny backup bazy przez CRONA,
to nie ma problemu.

Np to cale Forum chodzi na Mysqlu, i działa jak na razie znośnie (od ponad 10 lat).
Nawet potrafi wylistować moje wszystkie posty w czasie krótszym niż tydzień. :P

Przy okazji, a propo Radiusa, jak chcesz też obsługiwać autoryzację gratów pracowników do firmowej sieci Wifi i do firmowego VPNa zdalnego, to bez Radiusa się nie obejdzie na pewno, nie ma o czym mówić.

Praktycznie wszystkie sprzedawane routery wifi i AP, poza najgorszym szajsem, potrafią autoryzować pacjentów przez Radiusa.
Podobnie jak np OpenVPN i  Strongswan, czyli moim zdaniem aktualnie najlesze serwery VPN na Linuxa.


Przykład Ipsec - Stronswan, Radius i autoryzacja  EAP-TLS z certami X509:
https://www.strongswan.org/testing/testresults/ikev … us/index.html
Taką samą autoryzację można wdrożyć w WPA2 (na tych samych certach klienckich) co mocno upraszcza sprawę firmowego wifi i firmowego VPN.
Praktycznie we wszystkich obecnych na rynku routerach wifi chodzi ten sam demon hostapd, który jest w repozytorium każdego Linuxa.


Pozdro

Ostatnio edytowany przez Jacekalex (2019-02-13 05:45:49)