OpenVPN接入PrivacyIDEA认证失败求助，SSH认证暂未尝试

1. 解决源码编译的依赖问题 #

编译 privacyidea-pam 时缺 curl 是因为未安装对应开发包，按发行版执行以下命令：

• Debian/Ubuntu：sudo apt install libcurl4-openssl-dev
• RockyLinux/CentOS：sudo dnf install libcurl-devel

补完依赖后重新编译安装：

git clone https://github.com/privacyidea/privacyidea-pam.git
cd privacyidea-pam
make
sudo make install

安装后确认 pam_privacyidea.so 路径：64位系统通常在 /usr/lib64/security/，Debian/Ubuntu 可能在 /usr/lib/x86_64-linux-gnu/security/

2. 验证 PAM 模块依赖完整性 #

执行 ldd /usr/lib64/security/pam_privacyidea.so，如果输出中存在 not found 的库，直接安装对应包（比如缺 libcurl 就装 libcurl4 或 libcurl3）

3. 修正 PAM 配置文件 #

打开 /etc/pam.d/openvpn，确保核心配置正确：

• 必须指定完整的 PrivacyIDEA 地址（带 http/https 协议头）：auth required pam_privacyidea.so url=https://你的PI服务器地址
• 测试阶段可加 insecure 参数跳过证书验证：auth required pam_privacyidea.so url=https://xxx.xxx.xxx.xxx insecure
• 删除配置中多余的无效行

4. 单独测试 PAM 认证（脱离 OpenVPN） #

用 pamtester 直接验证 PAM 模块是否正常工作：
先安装工具：

• Debian/Ubuntu：sudo apt install pamtester
• RockyLinux：sudo dnf install pamtester

执行测试命令：

pamtester openvpn 你的用户名 authenticate

输入OTP后如果认证成功，说明PAM模块本身无问题；失败则查看 /var/log/auth.log（Debian/Ubuntu）或 /var/log/secure（RockyLinux）找具体错误日志

5. 检查 OpenVPN 配置与日志 #

• 确认 server.conf 中的插件路径正确：用 find / -name openvpn-plugin-auth-pam.so 查找实际路径，替换配置中的错误路径
• 查看 OpenVPN 日志（/var/log/openvpn.log），定位 PAM 相关报错，比如权限问题、插件加载失败
• 确保 OpenVPN 进程能读取 PAM 模块和配置文件（可通过 ls -l 确认权限）

6. 跨发行版通用要点 #

• 不同系统的 PAM 模块目录存在差异，不要硬塞 /usr/lib64/security/，用 find 命令定位正确位置
• 测试 PrivacyIDEA 服务器连通性：curl https://你的PI服务器地址/validate/check，能返回JSON则说明网络无问题

内容的提问来源于stack exchange，提问作者Qintiy