احراز هویت OpenVPN با گواهی و Google Authenticator

آزمون در کانتینر موقت Ubuntu24.04 بدون پورت منتشرشدهٔ میزبان، با OpenVPN و PAM واقعی بستهٔ توزیع، حساب موقت، CA خصوصی آزمایش و رابط TUN انجام شد. نتایج ثبت‌شده فقط شاهد همین fixture هستند؛ حساب، فایروال، مسیر، سرویس و اطلاعات ورود تولیدی تغییر نکرده‌اند. نسخه‌های دیگر سیستم‌عامل با مستندات بررسی شده‌اند.

۲۲ کنترل ثبت‌شده با OpenVPN 2.6.19، ماژول PAM نسخهٔ 20191231 و Python 3.12.3 گذشت: TOTP درست/غلط/خالی، منع مصرف مجدد، seed غایب یا با مجوز باز، حساب منقضی، محدودیت تلاش و کد بازیابی یک‌بارمصرف. اتصال واقعی TLS/TUN با daemon کاهش‌یافته موفق شد؛ کد غلط، گواهی با CN نامنطبق و گواهی باطل‌شده رد شدند. برای ابطال، رد صریح در لاگ سرور مشاهده شد؛ صرف timeout کلاینت شاهد نبود. انتقال دادهٔ اپلیکیشن بین دو namespace مستقل و password+OTP اجرا نشده‌اند.

این اجرا پذیرش GUI شما، مسیر اینترنت و NAT، daemon زمان، بوت و reboot سیستم‌عامل، HA یا بازیابی backup نیست. صدور CN، رساندن CRL، مجوز فایروال، احراز هویت بازیابی و رفتار renegotiation باید در پایلوت واقعی تأیید شوند. تغییر مقدارهای عمومی، محیط شما را اجرا یا اعتبارسنجی نمی‌کند.

پس از آزمون موفقیت و رد، هر کاربر را با نگاشت منحصربه‌فرد CN، حساب و seed ثبت کنید. خطاهای احراز هویتِ پاک‌سازی‌شده، انقضای گواهی و CRL، فضای دیسک و سلامت ساعت را پایش و واکنش به دستگاه گم‌شده را تمرین کنید. پیش از افزودن route و forwarding، مقصدهای مجاز مشخص باشند. آموزش WireGuard برای توپولوژی کلیدمحور دیگری است، نه جایگزین مستقیم همین گردش PAM.