[Frage] OpenVPN und Pam

[xrated]

Was ich vermisse ist eine Integration mit Pam oder gar Google Authenticator. Ist das nicht implementiert?

 

[MaxMuster]

Nicht das ich wüsste. Aber wenn du dazu was beitragen kannst/willst, kann man das sicher aufnehmen.

 

[xrated]

Kenne mich leider zu wenig aus, wäre das viel Arbeit ein pam Modul zu portieren?
https://github.com/OpenVPN/openvpn/tree/master/src/plugins/auth-pam
Eine /etc/passwd und /etc/group zwecks Benutzerverwaltung gäbs ja. Aber pam an sich fehlt wohl noch?

Rein mit Zertifikaten finde ich OpenVPN nicht mehr zeitgemäß und mit zusätzlich preshared key ist auch nur noch max. 1 gleichzeitige Verbindung möglich.

 

[MaxMuster]

Ich muss gestehen, dass ich das noch nie genutzt habe, nur mit Zertifikaten.

Wie geht das denn mit PAM? Und wäre alles, was man dafür benötigt, auf/mit der FB machbar?

PAM (libpam) gibt es nicht im Freetz, daher ist das etwas aufwändiger. Ich könnte mir vorstellen, das mal zu versuchen, Voraussetzung wäre aber, dass jemand (du(?)) vorher zusagt, sich um das "Drumherum" zu kümmern, also erstmal eine Art "Anleitung", was man da machen/haben müsste.
Ich möchte nicht Zeit darein stecken, und dann will/kann das nachher keiner Nutzen, weil was entscheidendes auf der FB fehlt...

Anpassung der GUI oder so wäre aber zu viel, dann könnte man das m.E. höchstens mit der "GUI_v2" (die nur mit Konfigfile) machen.

 

[xrated]

Die Anwendung ist sehr simpel, es werden zusätzlich die Unix Accounts zur Authentifizierung verwendet.

In der OpenVPN Config muss nur das entsprechende Modul geladen werden.

Dann braucht man noch die Config in PAM aber wenn die nicht vorhanden ist, dass ist schon ein Problem

/etc/pam.d/openvpn:
auth required pam_unix.so shadow nodelay
auth requisite pam_succeed_if.so uid >= 1000 quiet
auth requisite pam_succeed_if.so user ingroup vpn quiet
auth required pam_tally2.so deny=4 unlock_time=60
account required pam_unix.so
account required pam_tally2.so

Auch google authenticator (2factor) benötigt PAM, aber ich glaube nicht soviele Module (nur pam_unix.so).