plop à tous.
Aujourd’hui, un rapide tuto, sur la mise en place d’une authentification via le module PAM sur votre OpenVPN.
ATTENTION, comme on passe par une authentification par login/mot de passe, la sécurité est moins élevée qu’un système d’authentification par certificat serveur et client, néanmoins, il faut encore le certificat serveur, donc on peut considérer que le niveau de sécurité est encore pas mal élevé.
On va partir de l’idée que vous avez suivi ce tuto pour installer votre serveur VPN, et que donc votre config serveur ressemble à celle-là :
-
port 1194
-
proto udp
-
;proto tcp
-
;dev tun
-
dev tap
-
-
ca /etc/openvpn/keys/ca.crt
-
cert /etc/openvpn/keys/$server.crt
-
key /etc/openvpn/keys/$server.key
-
dh /etc/openvpn/keys/dh1024.pem
-
-
server 10.8.0.0 255.255.255.0
-
ifconfig-pool-persist /etc/openvpn/ipp.txt
-
-
push "redirect-gateway"
-
-
push "dhcp-option DNS $SERVER_DNS1"
-
push "dhcp-option DNS $SERVER_DNS2"
-
-
comp-lzo
-
keepalive 10 120
-
-
log /var/log/openvpn.log
-
log-append /var/log/openvpn.log
-
status /var/log/openvpn-status.log
-
-
verb 3
il vous suffit alors de rajouter ces 3 lignes à la fin du fichier :
-
client-cert-not-required
-
username-as-common-name
-
plugin /usr/lib/openvpn/openvpn-auth-pam.so common-auth
Et redémarrez le serveur.
Il sera alors possible d’utiliser comme identifiant les utilisateurs du système sur lequel est installé le VPN.
Pour qu’un utilisateur puisse se connecter en VPN, sans qu’il soit autorisé à se connecter au sytème, il suffit de déclarer son shell comme /bin/false.
-
useradd -s /bin/false monUtilisateur
-
sudo passwd monUtilisateur
Le passwd est nécessaire sous certain système linux, car en passant par l’option useradd -p monmotdepasse, le mot de passe est enregistré en clair, alors que le système utilise un chiffrement, rendant l’utilisation du mot de passe impossible.
Il est ensuite possible de se connecter via le NetworkManager via login/mdp et CA :
.
Pour ceux voulant utiliser un ldap pour automatiser la création d’un compte, il suffit de configurer le module pam pour utiliser votre ldap.
d’où ma démarche.
