Usando pam apenas para autorização, sem autenticação

Question

Helo lá,

Estou tendo uma situação aqui que não consigo resolver. Eu configurei uma conexão pptp entre dois computadores. Um atua como servidor, outro como cliente.

A conexão é feita minha chamada

pon my_vpn

em que my_vpn é um arquivo em / etc / ppp / peers que consiste em

pty "pptp 192.168.12.1 --nolaunchpppd"
name virtual_1
remotename my_vpn
require-mppe-128
file /etc/ppp/options.pptp
ipparam my_vpn

Isso cria a conexão entre o servidor e o cliente e inicia as interfaces ppp.

Seguindo um tutorial, eu configurei o arquivo chap_secrets no servidor e no cliente.

Chap_secrets do cliente:     # Segredos para autenticação usando CHAP     # endereços IP secretos do servidor cliente     virtual_2 * pass *

Servidor chap_secrets:     # Segredos para autenticação usando CHAP     # endereços IP secretos do servidor cliente     virtual_1 virtual_3 pass *     virtual_2 virtual_3 pass *

Quando pon my_vpn é iniciado no cliente (virtual_2), a saída de

/ var / log / syslog | grep ppp

no servidor (chamado virtual_3) é

Jul 24 07:11:56 virtual3 pppd[3323]: rcvd [LCP ConfAck id=0x1 <asyncmap 0x0> <auth chap MS-v2> <magic 0xcd787d11> <pcomp> <accomp>]
Jul 24 07:11:56 virtual3 pppd[3323]: sent [LCP EchoReq id=0x0 magic=0xcd787d11]
Jul 24 07:11:56 virtual3 pppd[3323]: sent [CHAP Challenge id=0xf <33b8dc04d3db8014f82e8d95eef3d3a2>, name = "virtual_3"]
Jul 24 07:11:56 virtual3 pppd[3323]: rcvd [LCP EchoReq id=0x0 magic=0xa40d7c64]
Jul 24 07:11:56 virtual3 pppd[3323]: sent [LCP EchoRep id=0x0 magic=0xcd787d11]
Jul 24 07:11:56 virtual3 pppd[3323]: rcvd [LCP EchoRep id=0x0 magic=0xa40d7c64]
Jul 24 07:11:56 virtual3 pppd[3323]: rcvd [CHAP Response id=0xf <a323c3ddf060ae2845fc14b09034e64a000000000000000049fb952c5de9ec86cf872c0f05cea9f245fd6cf585a64eff00>, name = "virtual_2"]
Jul 24 07:11:56 virtual3 pppd[3323]: sent [CHAP Success id=0xf "S=2F3C33E3676ADE634FBD3F3406BA1091EC04763A M=Access granted"]
Jul 24 07:11:56 virtual3 pppd[3323]: sent [CCP ConfReq id=0x1 <mppe +H -M +S -L -D -C>]
Jul 24 07:11:56 virtual3 pppd[3323]: rcvd [CCP ConfReq id=0x1 <mppe +H -M +S -L -D -C>]
Jul 24 07:11:56 virtual3 pppd[3323]: sent [CCP ConfAck id=0x1 <mppe +H -M +S -L -D -C>]
Jul 24 07:11:56 virtual3 pppd[3323]: rcvd [CCP ConfAck id=0x1 <mppe +H -M +S -L -D -C>]
Jul 24 07:11:56 virtual3 pppd[3323]: MPPE 128-bit stateless compression enabled
Jul 24 07:11:56 virtual3 pppd[3323]: sent [IPCP ConfReq id=0x1 <compress VJ 0f 01> <addr 10.8.10.1>]
Jul 24 07:11:56 virtual3 pppd[3323]: rcvd [IPCP ConfReq id=0x1 <compress VJ 0f 01> <addr 0.0.0.0>]
Jul 24 07:11:56 virtual3 pppd[3323]: sent [IPCP ConfNak id=0x1 <addr 10.8.10.3>]
Jul 24 07:11:56 virtual3 pppd[3323]: rcvd [IPCP ConfAck id=0x1 <compress VJ 0f 01> <addr 10.8.10.1>]
Jul 24 07:11:56 virtual3 pppd[3323]: rcvd [IPCP ConfReq id=0x2 <compress VJ 0f 01> <addr 10.8.10.3>]
Jul 24 07:11:56 virtual3 pppd[3323]: sent [IPCP ConfAck id=0x2 <compress VJ 0f 01> <addr 10.8.10.3>]
Jul 24 07:11:56 virtual3 pppd[3323]: Cannot determine ethernet address for proxy ARP
Jul 24 07:11:56 virtual3 pppd[3323]: local  IP address 10.8.10.1
Jul 24 07:11:56 virtual3 pppd[3323]: remote IP address 10.8.10.3
Jul 24 07:11:56 virtual3 pppd[3323]: pptpd-logwtmp.so ip-up ppp1 virtual_2 192.168.11.100
Jul 24 07:11:56 virtual3 pppd[3323]: Script /etc/ppp/ip-up started (pid 3326)
Jul 24 07:11:57 virtual3 pppd[3323]: Script /etc/ppp/ip-up finished (pid 3326), status = 0x0

O que eu gostaria de conseguir agora é usar o PAM no lado do servidor, mas apenas para autorização sem autenticação. Ou seja, eu gostaria de deixar a autorização como era até agora através do arquivo chap_secrets, e apenas ad o módulo de autenticação que gravará na tabela do banco de dados em cada mudança de conexão (quando a conexão ppp é feita, o usuário conectado é gravado no banco de dados e quando a conexão é perdida, a coluna é excluída do banco de dados).

Antes de configurar o banco de dados, estou tentando fazer coisas simples ou verificar se o pppd está trabalhando com o PAM. Então eu editei o arquivo /etc/pam.d/ppp que se parece com:

#%PAM-1.0
# Information for the PPPD process with the 'login' option.

account sufficient pam_exec /bin/echo "Succesful log" > /home/user/log_file
auth    required        pam_nologin.so
@include common-auth
@include common-account
@include common-session

Esperando que, em uma conexão bem-sucedida, um arquivo (/ home / user / log_file) seja criado. No entanto, nenhum arquivo foi criado. Depois disso, embaralhei o /etc/pam.d/ppp na esperança de obter qualquer tipo de erro que pudesse pelo menos confirmar que o pppd está usando o PAM. No entanto, tudo correu como antes.

Meu pppd é compilado para usar o pam.

root@virtual3:/etc/ppp# ldd /usr/sbin/pppd
...
libpam.so.0 => /lib/libpam.so.0 (0xb76e8000)
...

Alguma ideia de onde começar a seguir? tnx

    

Answer 1

Parecia que tudo que precisava ser feito era executar o pppd com o parâmetro de login. Isso pode ser definido em / etc / ppp / options. apesar de dizer que só deve ser usado com PAP.

Suponho que funcione porque não estamos tentando autenticar com o PAP e o CHAP, a autenticação passa pelos arquivos chap_secret após os quais ele é passado para o PAM.

Quando o PAM assume o controle, podemos configurá-lo para sempre passar a autenticação e usar a autorização para o que é necessário.

Aqui está como meu arquivo PAM (no servidor /etc/pam.d/ppp) se parece:    auth pam_permit.so suficiente
   conta suficiente pam_permit.so

Por enquanto, não defini nada de concreto para a conta. O que eu planejo é executar um módulo que grava as informações no banco de dados.

Olhando para o / var / log / syslog:

Jul 24 11:32:02 virtual3 pptpd[6100]: GRE: Bad checksum from pppd.
Jul 24 11:32:02 virtual3 pppd[6101]: rcvd [LCP ConfAck id=0x1 <asyncmap 0x0> <auth chap MS-v2> <magic 0xbfa95b1b> <pcomp> <accomp>]
Jul 24 11:32:02 virtual3 pppd[6101]: sent [LCP EchoReq id=0x0 magic=0xbfa95b1b]
Jul 24 11:32:02 virtual3 pppd[6101]: sent [CHAP Challenge id=0x72 <bd6de330bce960fd3c015f4c05271084>, name = "virtual_3"]
Jul 24 11:32:02 virtual3 pppd[6101]: rcvd [LCP EchoReq id=0x0 magic=0x26f8d72a]
Jul 24 11:32:02 virtual3 pppd[6101]: sent [LCP EchoRep id=0x0 magic=0xbfa95b1b]
Jul 24 11:32:02 virtual3 pppd[6101]: rcvd [LCP EchoRep id=0x0 magic=0x26f8d72a]
Jul 24 11:32:02 virtual3 pppd[6101]: rcvd [CHAP Response id=0x72 <37493f89d9ab654ebd597c25a4a6b0c000000000000000007452936c00f1efa80034f8a65f1f33a7c5b0cf8b4ca6b3f600>, name = "virtual_2"]
Jul 24 11:32:02 virtual3 pppd[6101]: sent [CHAP Success id=0x72 "S=8BA14BF6728FFEF9BAC466B0B7ACD5B6273E8B38 M=Access granted"]
Jul 24 11:32:02 virtual3 pppd[6101]: Initializing PAM (2) for user virtual_2
Jul 24 11:32:02 virtual3 pppd[6101]: ---> PAM INIT Result = 0
Jul 24 11:32:02 virtual3 pppd[6101]: Attempting PAM account checks
Jul 24 11:32:02 virtual3 pppd[6101]: PAM Account OK for virtual_2
Jul 24 11:32:02 virtual3 pppd[6101]: PAM Session opened for user virtual_2
Jul 24 11:32:02 virtual3 pppd[6101]: user virtual_2 logged in on tty pts/3 intf ppp0
Jul 24 11:32:02 virtual3 pppd[6101]: MPPE 128-bit stateless compression enabled
Jul 24 11:32:02 virtual3 pppd[6101]: Cannot determine ethernet address for proxy ARP
Jul 24 11:32:02 virtual3 pppd[6101]: local  IP address 10.8.10.1
Jul 24 11:32:02 virtual3 pppd[6101]: remote IP address 10.8.10.2
Jul 24 11:32:02 virtual3 pppd[6101]: pptpd-logwtmp.so ip-up ppp0 virtual_2 192.168.11.100

pode-se ver que a autenticação passou pelo CHAP e depois é passada para o PAM.