VPN-verifikasiegebied: watter rekeningnaamruimte wen?

Elke VPN-aanmelding beland in een of ander rekeningnaamruimte, en die verifikasiegebied is die keurder wat besluit watter een. Dit sê niks oor die land, die bedienerligging of die vertrouensvlak nie. Twee identiese gebruikersname kan in verskillende gebiede woon, en daarom verifieer ’n korrekte wagwoord soms die verkeerde rekening. Hierdie prosedure maak eers die identiteitsvorm reg en volg dan die versoek tot by die stelsel wat werklik geantwoord het.

Wat die gebied kies

’n Aansluitpunt ontvang ’n gebruikersnaam en moet besluit waar om dit na te gaan. Die gebied is die deel van daardie naam, of die eienskap daarlangs, wat die databasis kies: ’n gids, ’n RADIUS-poel, ’n plaaslike rekeninglêer. Microsoft se NPS noem dit ’n realm-naam en lei verbindingsversoeke daarmee, terwyl die EAP-netwerktoegangsidentifiseerder dieselfde idee dra as ’n agtervoegsel ná die apenstaartteken in RFC 7542. Albei is keurders, en nie een besluit of die geloofsbrief goed is nie.

Daardie skeiding lewer twee baie verskillende foute. ’n Gebied wat korrek lei met ’n verkeerde wagwoord gee een weiering, terwyl ’n gebied wat na die verkeerde databasis lei ’n korrekte wagwoord kan weier of een van iemand anders kan aanvaar. Nie een van die foute noem die gebied nie, en daarom is die eerste diagnose altyd dieselfde: vind uit watter stelsel geantwoord het.

Gebiedsintaksis hoort by die ontplooiing. Sommige dienste wil ’n ongekwalifiseerde naam plus ’n eienskap, ander wil user@domain, en ’n paar verwag ’n vorm met ’n terugskuinsstreep wat die meeste gidse nooit noem nie.

Gebruik die vorm wat die backend verwag

Vra die operateur watter vorm om te tik voordat jy agtervoegsels uit ’n handleiding probeer. ’n Domeingekwalifiseerde naam wat by ’n backend kom wat ’n gewone een verwag, faal gewoonlik by die opsoek eerder as by die wagwoordtoets. Dieselfde kort naam in twee gidse is die geval waar ’n ontbrekende gebied die meeste skade doen.

Moenie die bestuursrekening as bewys beskou nie. Die webkonsole waar jy die diens bestuur, verifieer miskien teen ’n plaaslike lêer, terwyl die tonnel ’n heeltemal ander gids nagaan. Toets met die geloofsbriewe wat ’n regte gebruiker sou gebruik, op die koppelvlak wat ’n regte gebruiker sou gebruik. ’n Suksesvolle konsol-aanmelding sê niks oor die gebied wat die aansluitpunt op VPN-verifikasie toepas nie.

Blaaiers en poskliënte kas soms ’n vorige identiteit en dien dit stil weer in. Wanneer die gerapporteerde gebruikersnaam van die getikte een verskil, is daardie kas die eerste plek om te kyk.

Volg die versoek deur die proxy

Op ’n FreeRADIUS-voorkant word gebiede in die proxy-konfigurasie verklaar, en die verklaarde agtervoegsel besluit watter tuisbediener die versoek ontvang. Lees daardie lêer voordat jy iets verander, want ’n versoek wat aan geen gebied voldoen nie, word by verstek plaaslik hanteer.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

Die grep wys watter agtervoegsels bestaan en na watter poel elkeen mik. Die radtest-oproep stuur ’n naam met ’n gebied en ’n doelbewus verkeerde wagwoord, so ’n weiering bewys dat beide die roete en die geloofsbrieftoets geloop het. Joernaalreëls rondom daardie poging wys of die naam voor die proksering gestroop is en watter tuisbediener dit geneem het. As die log glad geen gebied-ooreenstemming wys nie, het die versoek nooit die plaaslike bediener verlaat nie en is die agtervoegsel die probleem, nie die wagwoord nie.

Verander een ding op ’n slag en herhaal die poging, want die log skei roetering van geloofsbrieffaling net wanneer die invoer tussen lopies verskil. Hou die gedeelde geheim uit die dopgeskiedenis waar die hulpmiddel dit uit ’n lêer of ’n opdrag kan lees.

Teken die poging op sonder om dit te lek

Skryf die fout in ’n vorm waarop ’n administrateur kan reageer: die koppelvlak, die identiteitsvorm, of ’n gebied teenwoordig was, en die presiese nie-geheime fout. Hou die lewendige gebruikersnaam uit openbare verslae en hou die gebied in. Om elke identiteit tot dieselfde plekhouer te redigeer, verberg juis die wanverhouding wat jy probeer vind. Die tydstempel maak ook saak, want die aansluitpunt, die proxy en die gids hou afsonderlike logs.

Dokumenteer dan die wenvorm vir gebruikers, want die volgende persoon wat dit verkeerd tik, maak dieselfde kaartjie oop. ’n Wagwoordherstel maak nie ’n versoek reg wat aanhou in die verkeerde naamruimte beland nie. Die gebied is ’n roeteringsbesluit, en roeteringsbesluite word reggemaak deur hulle korrek te noem.