Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!

Ogłoszenie

Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.

Strony: 1

 

#1  2018-03-15 14:47:13

  life - Użytkownik

life
Użytkownik
Zarejestrowany: 2009-10-30

Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

Cześć.
mam problem z połączeniem openvpn przy uwierzytelnieniu za pomocą loginu i hasła. Na certyfikatach dla klienta działa bez problemu, ale chciałbym mieć możliwość uwieżytleniać się za pomocą usera i hasła.

W logach przy połączeniu leci tak:

Thu Mar 15 14:32:30 2018 library versions: OpenSSL 1.1.0f  25 May 2017, LZO 2.10
Thu Mar 15 14:32:30 2018 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25341
Thu Mar 15 14:32:30 2018 Need hold release from management interface, waiting...
Thu Mar 15 14:32:30 2018 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25341
Thu Mar 15 14:32:30 2018 MANAGEMENT: CMD 'state on'
Thu Mar 15 14:32:30 2018 MANAGEMENT: CMD 'log all on'
Thu Mar 15 14:32:30 2018 MANAGEMENT: CMD 'echo all on'
Thu Mar 15 14:32:30 2018 MANAGEMENT: CMD 'bytecount 5'
Thu Mar 15 14:32:30 2018 MANAGEMENT: CMD 'hold off'
Thu Mar 15 14:32:30 2018 MANAGEMENT: CMD 'hold release'
Thu Mar 15 14:32:35 2018 MANAGEMENT: CMD 'username "Auth" "nazwausera"'
Thu Mar 15 14:32:35 2018 MANAGEMENT: CMD 'password [...]'
Thu Mar 15 14:32:35 2018 Outgoing Control Channel Authentication: Using 512 bit message hash 'SHA512' for HMAC authentication
Thu Mar 15 14:32:35 2018 Incoming Control Channel Authentication: Using 512 bit message hash 'SHA512' for HMAC authentication
Thu Mar 15 14:32:35 2018 TCP/UDP: Preserving recently used remote address: [AF_INET]XXX.YYY.ZZZ.VVV:1194
Thu Mar 15 14:32:35 2018 Socket Buffers: R=[65536->65536] S=[65536->65536]
Thu Mar 15 14:32:35 2018 UDP link local: (not bound)
Thu Mar 15 14:32:35 2018 UDP link remote: [AF_INET]XXX.YYY.ZZZ.VVV:1194
Thu Mar 15 14:32:35 2018 MANAGEMENT: >STATE:1521120755,WAIT,,,,,,
Thu Mar 15 14:32:37 2018 MANAGEMENT: >STATE:1521120757,AUTH,,,,,,
Thu Mar 15 14:32:37 2018 TLS: Initial packet from [AF_INET]XXX.YYY.ZZZ.VVV:1194, sid=3f0520b6 9fe98125
Thu Mar 15 14:32:37 2018 WARNING: this configuration may cache passwords in memory — use the auth-nocache option to prevent this
Thu Mar 15 14:32:37 2018 VERIFY OK: depth=1, C=PL, ST=KW, L=jakiesmiasto, O=mojanaza, OU=mojanaza, CN=mojanaza CA, name=VPNServer, emailAddress=info@mojanaza
Thu Mar 15 14:32:37 2018 VERIFY KU OK
Thu Mar 15 14:32:37 2018 Validating certificate extended key usage
Thu Mar 15 14:32:37 2018 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
Thu Mar 15 14:32:37 2018 VERIFY EKU OK
Thu Mar 15 14:32:37 2018 VERIFY OK: depth=0, C=PL, ST=KW, L=jakiesmiasto, O=mojanaza, OU=mojanaza, CN=server, name=VPNServer, emailAddress=info@mojanaza[/quote]
W tym momencie staje po czym wypluwa:

Thu Mar 15 14:33:35 2018 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Thu Mar 15 14:33:35 2018 TLS Error: TLS handshake failed[/quote]
Jak wspomniałem przy uwierzytelnieniu certyfikatem klienta nie ma problemu.

Plik konfiguracyjny klienta:

Kod:

client
auth-user-pass
dev tun
proto udp
remote xxx.yyy.zzz.vvv 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
remote-cert-tls server
tls-auth ta.key 1
cipher AES-256-CBC
auth SHA512
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-256-CBC-SHA:TLS-DHE-RSA-WITH-CAMELLIA-256-CBC-SHA:TLS-DHE-RSA-WITH-AES-128-CBC-SHA:TLS-DHE-RSA-WITH-CAMELLIA-128-CBC-SHA
verb 3

Konfig serwera:

Kod:

local xxx.yyy.zzz.vvv
port 1194
rroto udp
dev tun
ca /etc/openvpn/certs/keys/ca.crt
cert /etc/openvpn/certs/keys/server.crt
key /etc/openvpn/certs/keys/server.key
dh dh4096.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
client-to-client
keepalive 10 120
tls-auth /etc/openvpn/certs/keys/ta.key 0 # This file is secret
cipher AES-256-CBC
auth SHA512
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AE$
user openvpn
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log
log-append  /var/log/openvpn.log
verb 3
explicit-exit-notify 1
client-cert-not-required
username-as-common-name
plugin /usr/lib/openvpn/openvpn-plugin-auth-pam.so "/etc/pam.d/openvpn"
tmp-dir /tmp

próbowałem też dla kont systemowych parametr do pluginu pam-a /etc/pam.d/login ale też bez efektu

Jak ktoś będzie miał jakiś pomysł będę wdzięczny.

--- EDIT ---

Dobra doszedłem do tego że działa albo na certyfikatach albo na uwierzytelnianiu user/pass . Jednocześnie tak i tak póki co nie chce działać ,... ale jeszcze powalczę :)

Ostatnio edytowany przez life (2018-03-15 20:45:05)

Offline

 

#2  2018-03-16 16:59:06

  hi - Użytkownik

hi
Użytkownik
Zarejestrowany: 2016-03-24

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

pusta linia [b]auth-user-pass[/b] podaj ścieżkę bezwzględną do tego pasa :)

pliczek [b]login.conf[/b]

Kod:

login
pass

Ostatnio edytowany przez hi (2018-03-16 16:59:24)

"Jeśli wolność słowa w ogóle coś oznacza, to oznacza prawo do mówienia ludziom tego, czego nie chcą słyszeć."
Eric Arthur Blair

Offline

 

#3  2018-03-16 18:00:25

  morfik - Cenzor wirtualnego świata

morfik
Cenzor wirtualnego świata
Skąd: ze WSI
Zarejestrowany: 2011-09-15
Serwis

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

Czytajcie man openvpn: xD

--auth-user-pass [up]
              Authenticate with server using username/password.  up is a file containing username/password on 2 lines. If the  password  line
              is missing, OpenVPN will prompt for one.

              If up is omitted, username/password will be prompted from the console.

              The server configuration must specify an --auth-user-pass-verify script to verify the username/password provided by the client.[/quote]

Offline

 

#4  2018-03-16 18:09:31

  hi - Użytkownik

hi
Użytkownik
Zarejestrowany: 2016-03-24

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

czasami man nie pomaga trzeba DUŻYMI NAPISAĆ :)

"Jeśli wolność słowa w ogóle coś oznacza, to oznacza prawo do mówienia ludziom tego, czego nie chcą słyszeć."
Eric Arthur Blair

Offline

 

#5  2018-03-17 01:03:59

  life - Użytkownik

life
Użytkownik
Zarejestrowany: 2009-10-30

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

zapisywanie hasla jawnym tekstem w pliku to jakas porazka po to sa certyfikaty, a lionia bez parametru (wskazania pliku) wymaga podania go z palca.
uwierzytelnianie za pomocą loginu i hasła działa zarówno na użytkownikach systemowych (/etc/pam.d/login) jak i prosty system virtualuser gdzie w pliku trzymany jest login i hash hasła.

nie mogłem jedynie poradzić sobie by funkcjonowały dwie metody równocześnie (certyfikaty i login/pass).

Ale nie drążę teamtu bo znalazłęm metodę na tymczasowe "blokowanie" certyfikatów a nie stałe (revoke) więc ta metoda pozwala czasowo dobierać dostęp do VPN-a.

Offline

 

#6  2018-03-18 13:46:50

  hi - Użytkownik

hi
Użytkownik
Zarejestrowany: 2016-03-24

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

[quote="life"]zapisywanie hasla jawnym tekstem w pliku to jakas porazka[/quote]
a co za problem nadać chmod'a na pliczek, po to masz atrybuty żeby z nich korzystać :)

"Jeśli wolność słowa w ogóle coś oznacza, to oznacza prawo do mówienia ludziom tego, czego nie chcą słyszeć."
Eric Arthur Blair

Offline

 

#7  2018-03-19 11:16:03

  life - Użytkownik

life
Użytkownik
Zarejestrowany: 2009-10-30

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

[quote=hi][quote="life"]zapisywanie hasla jawnym tekstem w pliku to jakas porazka[/quote]
a co za problem nadać chmod'a na pliczek, po to masz atrybuty żeby z nich korzystać :)[/quote]
wiesz co nawet nie próbuj mnie przekonywać że trzymanie hasła w pliku tekstowym jawnym tekstem to nic złego!

to może tak na szybko jako to problem ... a no taki że zbootuje się z USB albo CD i twoje chmody o kant d... :)

Offline

 

#8  2018-03-19 13:06:43

  morfik - Cenzor wirtualnego świata

morfik
Cenzor wirtualnego świata
Skąd: ze WSI
Zarejestrowany: 2011-09-15
Serwis

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

A o szyfrowaniu dysku to słyszał? xD

Offline

 

#9  2018-03-19 17:37:13

  life - Użytkownik

life
Użytkownik
Zarejestrowany: 2009-10-30

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

Panowie ale jaki ma to związek z tematem? ... żaden
tak o szyfrowaniu słyszał co nie znaczy że na szyfrowanym dysku/partycji trzymanie hasła w plaintext jest bezpieczne, root albo każdy inny proces odpaloany z prawami właściciela ma możliwość odczytania tego hasła to już stwarza spore możliwości ...
to tak samo jak by wstawić sobie do domu pancerne drzwi z atestami, równie bezpieczne zamki a klucze trzymać pod wycieraczką ... taki ma to sens

Ostatnio edytowany przez life (2018-03-19 17:38:14)

Offline

 

#10  2018-03-19 19:31:12

  morfik - Cenzor wirtualnego świata

morfik
Cenzor wirtualnego świata
Skąd: ze WSI
Zarejestrowany: 2011-09-15
Serwis

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

A ten proces z prawami root to ci nie odczyta znaków z klawiatury i nie nawiąże połączenia ze zdalnym serwerem, by wysłać te twoje przyciśnięcia klawiszy przypadkiem? xD Sam widzisz, że jak coś uzyska dostęp root, to nic nie jest bezpieczne -- tylko niech go najpierw uzyska. xD A odczytać znaki z klawiatury to potrafi każda appka, która jest odpalona jako twój użytkownik, czyli potencjalnie to łatwiej jest te twoje hasełka wpisane z palca przechwycić niż hasła zapisane w pliku będące pod ochroną root, i co ciekawe w tym pierwszym przypadku nawet się nie dowiesz o tym, że ktoś zarejestrował te przyciśnięcia, a logowanie na roota, to już bruździ w logu systemowym.

I tak, tego tupu gadanie nie ma kompletnie związku z tematem wątku ale to nie ja zacząłem porównywać bezpieczeństwo jednego i drugiego rozwiązania.

Offline

 

#11  2018-03-22 01:38:45

  hi - Użytkownik

hi
Użytkownik
Zarejestrowany: 2016-03-24

Re: Problem z połączeniem z openvpn przy uwierzytelnieniu user/pass

człowieku zaszyfruj sobie dyski a dostępy masz na rocie ootb w każdym linuksie jak je rozdasz twoja sprawa a jak Ci mało to na obudowę kłódka z podpięciem do usbx220V
https://youtu.be/Q6bApDXbwGg?t=1m59s
no serio nie łatwo dostać nieautyrozywanego roota na takim Debianie no kurwa jest to baaaaaaaardzo trudene
dostanie się do zaszyfrowanych dyziów LUKS-em jest też niemożliwe
do tego masz palącą niespodziankę dla chujków, którzy chcieli się dostać do Twoich cyfrowych sekretów:)
fajnie co nie i zadziała, bardzo prosto taki guziczek na obudowie założyć a i efektowny :) miny psem śmierdzących ynformatyków przy otwieraniu bezcenne (maszyna nie musi być wpięta do sieci) :)

to tyle o chujkach wykorzystujących swoje umiejętności przeciwko nam
https://pl.wikipedia.org/wiki/Anarchizm_indywidualistyczny

Noam Chomsky prawicowe katolickie tępe chujki
https://pl.wikipedia.org/wiki/Noam_Chomsky

tak posłuchajcie mądrego człowieka robaczki ... zamiast tych swoich idolków na youtubie
https://www.youtube.com/watch?v=q41nzYj5-Jg

chuja wiecie o anarchii dlatego się jej tak boicie, boicie się jej bo boicie się siebie a bardziej tego co zrobiłby bliźni wam, dlatego się bicue anarchii bo system wam wklepał do głowy, że ludzie są źli ...

i na dobranoc: klasyk
https://www.youtube.com/watch?v=taMVXGamKWs

Ostatnio edytowany przez hi (2018-03-22 03:28:06)

"Jeśli wolność słowa w ogóle coś oznacza, to oznacza prawo do mówienia ludziom tego, czego nie chcą słyszeć."
Eric Arthur Blair

Offline

 

 

Strony: 1

Stopka forum

Powered by PunBB
© Copyright 2002–2005 Rickard Andersson
Nas ludzie lubią po prostu, a nie klikając w przyciski ;-)

[ Generated in 0.012 seconds, 11 queries executed ]

Informacje debugowania

Time (s) Query
0.00010 SET CHARSET latin2
0.00004 SET NAMES latin2
0.00144 SELECT u.*, g.*, o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.15.228.171' WHERE u.id=1
0.00229 REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.15.228.171', 1732687484)
0.00065 SELECT * FROM punbb_online WHERE logged<1732687184
0.00090 SELECT topic_id FROM punbb_posts WHERE id=318416
0.00005 SELECT id FROM punbb_posts WHERE topic_id=30362 ORDER BY posted
0.00067 SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=30362 AND t.moved_to IS NULL
0.00017 SELECT search_for, replace_with FROM punbb_censoring
0.00240 SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=30362 ORDER BY p.id LIMIT 0,25
0.00066 UPDATE punbb_topics SET num_views=num_views+1 WHERE id=30362
Total query time: 0.00937 s