VPN područje provjere identiteta: koji prostor naziva računa pobjeđuje?

Svaka VPN prijava završi u nekom prostoru naziva računa, a područje je birač koji odlučuje u kojem. Ono ne govori ništa o državi, lokaciji servera ni nivou povjerenja. Dva identična korisnička imena mogu živjeti u različitim područjima, zbog čega ispravna lozinka ponekad potvrdi pogrešan račun. Ovaj priručnik prvo ispravlja oblik identiteta, a zatim prati zahtjev do sistema koji je stvarno odgovorio.

Šta područje bira

Prolaz prima korisničko ime i mora odlučiti gdje će ga provjeriti. Područje je dio tog imena ili atribut pored njega koji bira bazu podataka: direktorij, RADIUS bazen, lokalnu datoteku računa. Microsoftov NPS to naziva imenom područja i njime usmjerava zahtjeve za vezu, dok EAP mrežni identifikator pristupa nosi istu ideju kao sufiks nakon znaka @ u RFC 7542. Oba su birači i nijedan ne odlučuje je li akreditiv dobar.

To razdvajanje stvara dvije vrlo različite greške. Područje koje ispravno usmjerava s pogrešnom lozinkom daje jedno odbijanje, dok područje koje usmjerava na pogrešnu bazu može odbiti ispravnu lozinku ili prihvatiti tuđu. Nijedna greška ne spominje područje, zato je prva dijagnostika uvijek ista: saznajte koji je sistem odgovorio.

Sintaksa područja pripada postavljanju. Neke usluge žele nekvalificirano ime plus atribut, druge žele user@domain, a rijetke očekuju oblik s obrnutom kosom crtom koji većina vodiča ne spominje.

Koristite oblik koji pozadina očekuje

Pitajte operatera koji oblik ukucati prije nego isprobate sufikse iz tutorijala. Imenom kvalificirano ime koje stigne do pozadine koja očekuje obično ime obično ne uspije na pretrazi, a ne na provjeri lozinke. Isto kratko ime u dva direktorija slučaj je u kojem nedostajuće područje nanosi najviše štete.

Ne uzimajte administrativni račun kao dokaz. Web konzola na kojoj upravljate uslugom može se potvrđivati prema lokalnoj datoteci, dok tunel provjerava sasvim drugi direktorij. Testirajte akreditivima koje bi koristio stvarni korisnik, na sučelju koje bi koristio stvarni korisnik. Uspješna prijava na konzolu ne govori ništa o području koje prolaz primjenjuje na VPN provjeru identiteta.

Preglednici i poštanski klijenti ponekad keširaju prethodni identitet i tiho ga ponovno pošalju. Kada se prijavljeno korisničko ime razlikuje od ukucanog, taj keš je prvo mjesto za provjeru.

Pratite zahtjev kroz proxy

Na FreeRADIUS prednjem dijelu područja se deklariraju u proxy konfiguraciji, a deklarirani sufiks odlučuje koji matični server prima zahtjev. Pročitajte tu datoteku prije nego što išta promijenite, jer se zahtjev koji ne odgovara nijednom području prema zadanim postavkama obrađuje lokalno.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep pokazuje koji sufiksi postoje i koji bazen svaki cilja. Poziv radtest šalje ime s područjem i namjerno pogrešnu lozinku, pa odbijanje dokazuje da su se izvršili i ruta i provjera akreditiva. Linije dnevnika oko tog pokušaja pokazuju je li ime odrezano prije proxyja i koji ga je matični server preuzeo. Ako dnevnik uopće ne pokazuje podudaranje područja, zahtjev nikada nije napustio lokalni server i problem je u sufiksu, a ne u lozinci.

Mijenjajte jednu stvar po jednu i ponavljajte pokušaj, jer dnevnik razdvaja usmjeravanje od neuspjeha akreditiva samo kada se ulaz razlikuje između pokretanja. Držite zajedničku tajnu izvan povijesti ljuske gdje alat podržava čitanje iz datoteke ili upita.

Zabilježite pokušaj bez curenja

Zapišite neuspjeh u obliku na koji administrator može djelovati: sučelje, oblik identiteta, je li područje bilo prisutno i tačnu grešku koja nije tajna. Držite živo korisničko ime izvan javnih izvještaja, a područje unutra. Redaktiranje svakog identiteta na isti rezervirani tekst skriva upravo nesklad koji tražite. Vremenska oznaka je također važna, jer prolaz, proxy i direktorij vode odvojene dnevnike.

Zatim dokumentirajte pobjednički oblik za korisnike, jer sljedeća osoba koja ga pogrešno ukuca otvara isti tiket. Resetovanje lozinke ne ispravlja zahtjev koji stalno završava u pogrešnom prostoru naziva. Područje je odluka o usmjeravanju, a odluke o usmjeravanju ispravljaju se ispravnim imenovanjem.