如何在ocserv中使用Python脚本实现外部认证？

核心问题：脚本参数读取方式错误 #

ocserv的external-script认证不是通过命令行参数传递用户名和密码，而是通过标准输入（stdin）逐行发送：第一行是用户名，第二行是密码。你的脚本现在在等待命令行参数，自然无法获取正确的认证信息。

修正后的脚本示例 #

#!/usr/bin/env python3
import sys

def authenticate(username, password):
    # 自定义认证逻辑
    if username.strip() == "user" and password.strip() == "pass":
        print("Auth-Type: Accept")
        sys.exit(0)
    else:
        print("Auth-Type: Reject")
        sys.exit(1)

if __name__ == "__main__":
    try:
        # 从stdin读取用户名和密码
        username = sys.stdin.readline()
        password = sys.stdin.readline()
        if not username or not password:
            print("Auth-Type: Reject")
            sys.exit(1)
        authenticate(username, password)
    except Exception as e:
        print("Auth-Type: Reject")
        sys.exit(1)

必须检查的配置与权限项 #

• 脚本权限设置：
  确保ocserv运行用户（通常是ocserv或nobody）拥有脚本的读和执行权限：

  chmod +x /path/to/my/script.py
  chown ocserv:ocserv /path/to/my/script.py
  

• ocserv.conf配置验证：
  1. 注释掉所有其他auth配置行（比如auth = "pam"或auth = "plain"），只保留：

     auth = "external-script /path/to/my/script.py"
     

  2. 确保路径是绝对路径，不要用相对路径，避免ocserv找不到脚本。
• 测试脚本有效性：
  手动模拟ocserv的调用方式，验证脚本输出和退出码：

  # 测试正确认证
  echo -e "user\npass" | /path/to/my/script.py
  # 应该输出Auth-Type: Accept，退出码0
  echo $?
  
  # 测试错误认证
  echo -e "wronguser\nwrongpass" | /path/to/my/script.py
  # 应该输出Auth-Type: Reject，退出码1
  echo $?
  

• 检查ocserv日志：
  查看服务日志定位具体错误：

  journalctl -u ocserv.service -f
  

  常见错误包括：脚本路径错误、权限不足、Python依赖缺失、脚本执行抛出异常等。
• Shebang行正确性：
  确保系统中有对应的Python版本，比如用python3替代python（避免Python2兼容性问题），修改脚本第一行为：

  #!/usr/bin/env python3
  

额外注意事项 #

• 脚本输出必须严格符合格式：成功时输出Auth-Type: Accept，失败时输出Auth-Type: Reject，不要有多余的输出（比如print调试信息），否则会导致ocserv解析失败。
• 确保脚本执行时长不要过长，ocserv有认证超时限制，复杂逻辑要尽量优化。

内容的提问来源于stack exchange，提问作者norooz