Возможность аутентификации OpenVPN AD LDAP + OTP?

Question

[Константин]

Можно ли пройти проверку на OpenVPN сервере используя имя пользователя из AD а пароль с помощью OTP плагина?
Как я понимаю нужна связка модулей openvpn-auth-ldap и openvpn-otp, но не пойму как сделать, так, чтобы username брался из AD, а password из OTP без использования пароля AD
Связка ldap_usename+password+otp не подходит, нужно именно ldap_usename+otp
Linux, pfsense, opnsense без разницы, лишь бы работало

Answer 1

[Олег Волков]

OpenVPN прекрасно работает с PAM, а там можно имплементировать LDAP. Более того, там же можно указать что пароль не используется. Туда же вставляется googleauthenticator.
Можно почитать мой документ. Правда в нем используется один OTA ключ, а вам надо будет больше.

Comments

[Константин]

Посмотрел Вашу статью, не понял как задействовать LDAP и брать пользователей из AD?
Я не сомневаюсь, что с помощью PAM можно организовать LDAP+OTP, вопрос как

[Олег Волков]

Конечно, это не пошаговая инструкция по решению Вашей задачи. Это материал для размышления, к тому же где-то 2/3 оттуда вам подходит. Как в PAM запихать LDAP придется почитать самому. Передо мной не стояла такая задача, поэтому готового рецепта нет. Могу подсказать, что в гугле надо искать "man pam_ldap". OTP описано в моём документе, но вам придется додумать как сделать персональные ключи. Дерзайте, у вас получится.