WIUNIX ACADEMY
احراز هویت OpenVPN با گواهی و Google Authenticator
صفحهٔ 5 از 5؛ مراحل قبلی و پیش‌نیازها را پیش از ادامه مرور کن.
آموزش متناسب با محیط تو
کجا اجرا می‌کنی؟
سیستم‌عامل و نسخه را انتخاب کن تا مراحل، دستورها و راه‌حل‌ها برای همان محیط نمایش داده شوند.
آموزش متناسب با مقادیر تو
تنظیمات این آموزش
مقادیر نمونه را برای محیط خودت تنظیم کن؛ متن و دستورهای مرتبط با هم تغییر می‌کنند. رمز، کلید خصوصی و توکن وارد نکن. مقادیر فقط در همین زبانه نگهداری می‌شوند و به سرور یا لینک اشتراک‌گذاری فرستاده نمی‌شوند. پیش از اجرا، DNS، گواهی‌ها و سیاست شبکهٔ واقعی را بررسی کن.
آی‌پی، دامنه یا پورت مثال‌ها با محیط تو فرق دارد؟ دکمهٔ زیر را باز کن، مقادیر را تغییر بده و «اعمال در آموزش» را بزن؛ سپس دستورهای به‌روز‌شده را کپی کن.
تنظیم مقادیر برای محیط من7 مقدار قابل‌تغییر
دامنهٔ اجرای واقعی و محدودیت آن
آزمون در کانتینر موقت Ubuntu24.04 بدون پورت منتشرشدهٔ میزبان، با OpenVPN و PAM واقعی بستهٔ توزیع، حساب موقت، CA خصوصی آزمایش و رابط TUN انجام شد. نتایج ثبت‌شده فقط شاهد همین fixture هستند؛ حساب، فایروال، مسیر، سرویس و اطلاعات ورود تولیدی تغییر نکرده‌اند. نسخه‌های دیگر سیستم‌عامل با مستندات بررسی شده‌اند.
۲۲ کنترل ثبت‌شده با OpenVPN 2.6.19، ماژول PAM نسخهٔ 20191231 و Python 3.12.3 گذشت: TOTP درست/غلط/خالی، منع مصرف مجدد، seed غایب یا با مجوز باز، حساب منقضی، محدودیت تلاش و کد بازیابی یک‌بارمصرف. اتصال واقعی TLS/TUN با daemon کاهش‌یافته موفق شد؛ کد غلط، گواهی با CN نامنطبق و گواهی باطل‌شده رد شدند. برای ابطال، رد صریح در لاگ سرور مشاهده شد؛ صرف timeout کلاینت شاهد نبود. انتقال دادهٔ اپلیکیشن بین دو namespace مستقل و password+OTP اجرا نشده‌اند.
این اجرا پذیرش GUI شما، مسیر اینترنت و NAT، daemon زمان، بوت و reboot سیستم‌عامل، HA یا بازیابی backup نیست. صدور CN، رساندن CRL، مجوز فایروال، احراز هویت بازیابی و رفتار renegotiation باید در پایلوت واقعی تأیید شوند. تغییر مقدارهای عمومی، محیط شما را اجرا یا اعتبارسنجی نمی‌کند.
از یک پایلوت به ثبت کنترل‌شدهٔ کاربران برسید
پس از آزمون موفقیت و رد، هر کاربر را با نگاشت منحصربه‌فرد CN، حساب و seed ثبت کنید. خطاهای احراز هویتِ پاک‌سازی‌شده، انقضای گواهی و CRL، فضای دیسک و سلامت ساعت را پایش و واکنش به دستگاه گم‌شده را تمرین کنید. پیش از افزودن route و forwarding، مقصدهای مجاز مشخص باشند. آموزش WireGuard برای توپولوژی کلیدمحور دیگری است، نه جایگزین مستقیم همین گردش PAM.
پشتوانهٔ این آموزش
منابع رسمی
وضعیت بررسی هر محیط بالای صفحه مشخص است؛ بررسی مستندات به معنی اجرای عملی همهٔ نسخه‌ها نیست.
- OpenVPN2.6 configuration and authentication manual
- Packaged auth-pam split privilege and prompt mapping
- Google Authenticator PAM options and stacking
- Authenticator file state/replay format
- Ubuntu release and support cycle
- Debian release lifecycle
- Debian13 OpenVPN package
- NIST authenticator factors and assurance boundaries
ادامهٔ مسیر