Reialme d'autenticació VPN: quin espai de noms de compte guanya?

Cada inici de sessió VPN cau en algun espai de noms de compte, i el reialme és el selector que decideix quin. No diu res sobre el país, la ubicació del servidor ni el nivell de confiança. Dos noms d'usuari idèntics poden viure en reialmes diferents, i per això una contrasenya correcta de vegades autentica el compte equivocat. Aquest manual fixa primer la forma de la identitat i després segueix la petició fins al sistema que realment ha respost.

Què selecciona el reialme

Una passarel·la rep un nom d'usuari i ha de decidir on comprovar-lo. El reialme és la part d'aquest nom, o l'atribut del costat, que tria la base de dades: un directori, un conjunt RADIUS, un fitxer de comptes local. El NPS de Microsoft ho anomena nom de reialme i hi encamina les peticions de connexió, mentre que l'identificador d'accés de xarxa EAP porta la mateixa idea com a sufix després de l'arrova a RFC 7542. Tots dos són selectors, i cap decideix si la credencial és bona.

Aquesta separació produeix dues fallades molt diferents. Un reialme que encamina correctament amb una contrasenya incorrecta dóna un rebuig, mentre que un reialme que encamina a la base de dades equivocada pot rebutjar una contrasenya correcta o acceptar-ne una d'una altra persona. Cap dels dos errors esmenta el reialme, i per això el primer diagnòstic sempre és el mateix: esbrineu quin sistema ha respost.

La sintaxi del reialme pertany al desplegament. Alguns serveis volen un nom no qualificat més un atribut, d'altres volen user@domain, i uns quants esperen una forma amb barra invertida que la majoria de guies no esmenten.

Feu servir la forma que espera el backend

Pregunteu a l'operador quina forma cal escriure abans de provar sufixos d'un tutorial. Un nom qualificat per domini que arriba a un backend que n'espera un de simple normalment falla en la cerca, no en la comprovació de la contrasenya. El mateix nom curt en dos directoris és el cas en què un reialme absent fa més mal.

No prengueu el compte de gestió com a prova. La consola web on administreu el servei pot autenticar-se contra un fitxer local, mentre que el túnel comprova un directori completament diferent. Proveu amb les credencials que faria servir un usuari real, a la interfície que faria servir un usuari real. Un inici de sessió correcte a la consola no diu res sobre el reialme que la passarel·la aplica a l'autenticació VPN.

Els navegadors i els clients de correu de vegades emmagatzemen una identitat anterior i la reenvien en silenci. Quan el nom d'usuari reportat difereix del que s'ha escrit, aquesta memòria cau és el primer lloc on mirar.

Seguiu la petició pel proxy

En un frontal FreeRADIUS, els reialmes es declaren a la configuració del proxy, i el sufix declarat decideix quin servidor principal rep la petició. Llegiu aquest fitxer abans de canviar res, perquè una petició que no coincideix amb cap reialme es tracta localment per defecte.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

El grep mostra quins sufixos existeixen i a quin conjunt apunta cadascun. La crida radtest envia un nom amb reialme i una contrasenya deliberadament incorrecta, així que un rebuig demostra que s'han executat tant la ruta com la comprovació de la credencial. Les línies de registre al voltant d'aquest intent mostren si el nom s'ha retallat abans del proxy i quin servidor principal l'ha pres. Si el registre no mostra cap coincidència de reialme, la petició no ha sortit mai del servidor local i el problema és el sufix, no la contrasenya.

Canvieu una cosa alhora i repetiu l'intent, perquè el registre separa l'encaminament de la fallada de credencials només quan l'entrada difereix entre execucions. Manteniu el secret compartit fora de l'historial de l'intèrpret on l'eina admet llegir-lo d'un fitxer o d'un missatge.

Registreu l'intent sense filtrar-lo

Escriviu la fallada en una forma sobre la qual un administrador pugui actuar: la interfície, la forma de la identitat, si hi havia reialme i l'error exacte no secret. Manteniu el nom d'usuari viu fora dels informes públics i el reialme dins. Redactar cada identitat amb el mateix marcador oculta precisament el desajust que busqueu. La marca de temps també importa, perquè la passarel·la, el proxy i el directori porten registres separats.

Després documenteu la forma guanyadora per als usuaris, perquè la propera persona que la escrigui malament obrirà el mateix tiquet. Restablir la contrasenya no arregla una petició que continua caient en l'espai de noms equivocat. El reialme és una decisió d'encaminament, i les decisions d'encaminament es corregeixen anomenant-les correctament.