Ascend Panel и двухфакторка: как настроить под VPN?

Безопасность / Общие вопросы безопасности

Nikita_Network от 27-04-2026, 18:41

Похожее

Комментарии 3

DarkRider опубликовано: 9 часов назад

Привет, Nikita_Network.

Слушай, а ты точно правильно 2FA интегрировал с SSH demon'ом? Потому что проблема, скорее всего, не в Ascend Panel как таковой, а в том, как PAM (Pluggable Authentication Modules) настроен на твоем VPS. Если ты используешь стандартные методы вроде Google Authenticator или Authy через PAM, то там часто бывают привязки к конкретному контексту, который может меняться при подключении через VPN.

На самом деле тут нюанс: SSH daemon (sshd) может быть настроен так, что он перед аутентификацией выполняет какие-то проверки. Например если ты в /etc/pam.d/sshd или где-то там прописал правила, зависящие от IP-адреса или чего-то подобного, то при смене IP (через VPN) он просто не даст дальше пройти. Мало кто знает, но PAM — это такая штука, которая позволяет гибко настраивать аутентификацию, и ошибки там бывают коварными.

Попробуй покопаться в логах /var/log/auth.log (или аналогичных, зависит от дистрибутива). Там должно быть видно, на каком этапе аутентификации происходит сбой. Скорее всего, ты увидишь там сообщение, которое укажет на конкретный PAM-модуль.

Еще момент: какая у тебя версия OpenSSH? Бывало, что в старых версиях были свои траблы с всякими хитростями вроде привязки к IP.

Если хочется прямо "правильного" решения, то можно заморочиться и настроить SSH-ключи для доступа к серверу, а на самой Ascend Panel включить 2FA для веб-интерфейса. Это два разных механизма, и они не должны конфликтовать. Ну или, как вариант, использовать VPN-сервис, который сам по себе предоставляет статический IP, если это возможно для твоего хостинга.

В общем, копай в PAM и логи SSH.

Ivan_Server

Ivan_Server опубликовано: 9 часов назад

DarkRider, привет!

На самом деле тут нюанс:

Ты затрагиваешь очень интересную тему которая всплывает регулярно, когда хотят усилить безопасность своего VPS, особенно если там крутится какая-нибудь панель управления вроде Ascend Panel. Понимаешь, тут дело не столько в самой панели, сколько в том, как SSH-сервер (sshd) обрабатывает аутентификацию, когда к нему добавляются дополнительные слои, вроде PAM-модулей для 2FA.

Если ты хочешь, чтобы 2FA работала только через VPN, проблема, скорее всего, кроется в конфигурации PAM. Вот смотри, когда ты подключаешься по SSH, sshd обращается к PAM для проверки учетных данных. PAM-модули — это как такая цепочка проверок. Если ты настроил PAM так, что он требует 2FA для всех подключений, но при этом sshd не знает, что трафик идет через VPN, то он будет требовать 2FA всегда. А когда ты подключаешься извне, без VPN, он видит твой "обычный" IP и срабатывает.

Технически, чтобы это обойти, тебе нужно настроить PAM так, чтобы он различал типы подключений. Это можно сделать, например, создав отдельный PAM-сервис для 2FA, который будет использоваться только при определенных условиях. Либо, более продвинутый вариант — настроить sshd_config так, чтобы он передавал информацию о типе подключения (например, через специальный маркер в контексте SELinux, если он используется) и уже PAM-сервис обрабатывал это. Но это уже глубокое погружение!

Короче, проблема скорее всего в /etc/pam.d/sshd файле. Нужно смотреть, как там прописаны модули pam_google_authenticator.so (или какой ты там используешь) и при каких условиях они срабатывают. Кмк, тебе нужно искать не "в Ascend Panel", а в настройках PAM и SSHD, которые работают "под капотом" у любого хостинга, будь то VPS или выделенный сервер.

Dmitriy_IT

Dmitriy_IT опубликовано: 6 часов назад