Оно ещё будет жить, потому что во всяких телекомах и банках это не быстрое дело смена чего-нибудь

Плюс саппорт есть и обязательства перед клиентами

4.0 в альфе уже

Просто их концепция больше не подходит

База вот эта вот

Огромная

С требованиями

А как иначе? (Не срама ради)

Мне правда интересно

Хелс чеки

Простые

но тем не менее, слухи о его смерти несколько преувеличены

А ты как считаешь?

И возможность мониторить приложение по апи. Но нужно и софт соответственный писать.

А ты как считаешь?

каждой задаче - своё решение

Я про архитектуру

Но и так нормально

Небольшая статичная инфраструктура и тупые админы - целевая аудитория

Добавить вмочку, убить вмочку. Закрыть заявочку, открыть заявочку.

Вот для таких кейсов

Забикс

#book #nginx #pdf ModSecurity 3 for Nginx

#book #nginx #pdf ModSecurity 3 for Nginx

спасибо)

А вот вопрос. Может ли OpenVPN использовать CN как юзернейм?

Чтобы я мог разрешить-запретить доступ для конкретного юзера

Юзаю через OpenVPN Access Server и LDAP

Такой костыль https://random.ac/cess/2013/09/21/openvpn-with-freeradius-common-name-as-username/

то есть из коробки не катит?

Можно пам модуль захачить ( у меня радиус в лдап смотрел )

Возможно есть еще какие-то хаки с переменными

а как работает TLS-only подключение?

как мне разрешить-запретить юзера?

только банить ключ?

только банить ключ?

Да, revoke

а через ldap это можно сделтаь?

Да, флаг добавить, много вариантов

я хочу whitelist подход.

imho тулинг у какого-нибудь стронгсвана куда лучше

у меня узкий юзкейс, там одновременное подключеине типа 2-3

но общий потенциальный список большой

я хочу whitelist подход.

Авторизация через группы например

Авторизация через группы например

Т.е.?

Как реализовать "все что не одобрено - все забанено"

?)

но все клиенты имеют реальные ключи по умолчанию

Как реализовать "все что не одобрено - все забанено"

RequireGroup true например

Это когда на LDAP прилеплена группа "РазрешеноКПоделючению"?

Что будет если LDAP запись не создана? какое дефолтное поведение?

(и сертификат нормельно валидируется CA)

Чтобы я мог разрешить-запретить доступ для конкретного юзера

У меня на каждого юзер есть pf rules. При подключении в pf вливаются правила для текущей сессии. На этапе connect-disconnect можно проверять всё что угодно. Ошибка возникающая в скрипте - рвёт соединение

У меня на каждого юзер есть pf rules. При подключении в pf вливаются правила для текущей сессии. На этапе connect-disconnect можно проверять всё что угодно. Ошибка возникающая в скрипте - рвёт соединение

Надо почитать

Надо почитать

Там обычные скрипты. В env передаются все параметры сессии. Ещё можно навесить проверку на валидность сертификата, но оно глючит

Как реализовать "все что не одобрено - все забанено"

У опенвпн есть этап верификации ключей в котором ты можешь запускать свои скрипты, tls-verify параметр, в нем у тебя будет доступ к CN и прочим данным сертификата и можешь блокировать разрешать доступ как тебе вздумается

Можно пам модуль захачить ( у меня радиус в лдап смотрел )

крутить пам+нсс разве не штатная интеграция с лдап?

крутить пам+нсс разве не штатная интеграция с лдап?

штатная. nslcd для этого существует, или кому не жалко нервов - FreeIPA со своим дружком sssd.

sssd шикарен, настроил с нуля (кроме сертов) за день

саппорт перевели в лдап, туда же подсунули ssh ключи

а что есть freeIPA?

вообще, еще со времен универа (год так 2005) только pam+nss были для авторизации через ldap

штатная. nslcd для этого существует, или кому не жалко нервов - FreeIPA со своим дружком sssd.

а что не так с ними?

Только позитив от их использования.

Только позитив от их использования.

кста, а вы решали задачу: локальные группы юзеру из лдап?

например, чтобы юзер автоматом получал группы в -G типа nginx, где uid не зафиксирован

Ну если есть юзер и локально, то он подхватит локальные же группы по умолчанию.

и задачу логин-скриптов из лдапа

Ну если есть юзер и локально, то он подхватит локальные же группы по умолчанию.

сейчас просто делаем usermod после его входа и нужен перелогин. Хотелось бы без перелогина, чтобы сразу получал всё. Для одной группы есть group: files [SUCCESS=merge] sss

в nsswitch

т.е. добавляете юзера в локальные группы и хотите чтобы они подхватывались без перелогина?

т.е. добавляете юзера в локальные группы и хотите чтобы они подхватывались без перелогина?

да

без двойного перелогина для применения. Понятно что просто поменяли в базе - сразу не применится

ну вот нет проблемы. Добавил щас для теста себя в другую группу и id сразу показала это

group: files sss

сам юзер при этом в лдап?

да

надо тогда проверить еще раз

ну вот нет проблемы. Добавил щас для теста себя в другую группу и id сразу показала это

так, а что как куда добавляли, в какие атрибуты

ну я вручную в /etc/group

а, не

нужно именно в лдапе править

"вручную" у нас скрипт и делает

так стоп. А что в ldap содержатся "локальные" группы?