Oblast ověřování VPN: který jmenný prostor účtu vyhraje?

Každé přihlášení VPN skončí v nějakém jmenném prostoru účtu a oblast je selektor, který rozhoduje ve kterém. Neříká nic o zemi, umístění serveru ani úrovni důvěry. Dvě stejná uživatelská jména mohou žít v různých oblastech, a proto správné heslo někdy ověří špatný účet. Tato příručka nejprve opraví tvar identity a poté sleduje požadavek až k systému, který skutečně odpověděl.

Co oblast vybírá

Brána obdrží uživatelské jméno a musí rozhodnout, kde ho ověřit. Oblast je část tohoto jména nebo atribut vedle něj, který vybírá databázi: adresář, fond RADIUS, místní soubor účtů. NPS od Microsoftu to nazývá jménem oblasti a směruje podle něj požadavky na připojení, zatímco identifikátor síťového přístupu EAP nese stejnou myšlenku jako příponu za znakem @ v RFC 7542. Oba jsou selektory a ani jeden nerozhoduje, zda jsou přihlašovací údaje dobré.

Toto oddělení vytváří dva velmi odlišné typy selhání. Oblast, která směruje správně se špatným heslem, dá jedno odmítnutí, zatímco oblast, která směruje do špatné databáze, může odmítnout správné heslo nebo přijmout cizí. Ani jedna chyba oblast nezmiňuje, a proto je první diagnostika vždy stejná: zjistěte, který systém odpověděl.

Syntaxe oblasti patří k nasazení. Některé služby chtějí nekvalifikované jméno plus atribut, jiné chtějí user@domain a několik očekává formu s obráceným lomítkem, kterou většina návodů nezmiňuje.

Použijte tvar, který backend očekává

Před zkoušením přípon z návodu se zeptejte operátora, jaký tvar zadat. Jméno kvalifikované doménou, které dorazí do backendu očekávajícího prosté jméno, obvykle selže při vyhledání, ne při kontrole hesla. Stejné krátké jméno ve dvou adresářích je případ, kdy chybějící oblast napáchá největší škodu.

Neberte správcovský účet jako důkaz. Webová konzole, kde službu spravujete, se může ověřovat proti místnímu souboru, zatímco tunel kontroluje zcela jiný adresář. Testujte s údaji, které by použil skutečný uživatel, na rozhraní, které by použil skutečný uživatel. Úspěšné přihlášení do konzole neříká nic o oblasti, kterou brána uplatňuje na ověřování VPN.

Prohlížeče a poštovní klienti někdy ukládají předchozí identitu a tiše ji znovu odesílají. Když se nahlášené uživatelské jméno liší od zadaného, je tato mezipaměť prvním místem, kam se podívat.

Sledujte požadavek přes proxy

Na frontendu FreeRADIUS se oblasti deklarují v konfiguraci proxy a deklarovaná přípona rozhoduje, který domovský server požadavek obdrží. Přečtěte si ten soubor, než cokoli změníte, protože požadavek neodpovídající žádné oblasti se ve výchozím nastavení zpracovává lokálně.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep ukazuje, které přípony existují a na který fond každá míří. Volání radtest posílá jméno s oblastí a záměrně špatné heslo, takže odmítnutí dokazuje, že proběhla jak trasa, tak kontrola údajů. Řádky protokolu kolem tohoto pokusu ukazují, zda bylo jméno před proxy odstraněno a který domovský server ho převzal. Pokud protokol neukazuje žádnou shodu oblasti, požadavek nikdy neopustil místní server a problém je v příponě, ne v heslu.

Měňte vždy jednu věc a pokus opakujte, protože protokol odděluje směrování od selhání údajů jen tehdy, když se vstup mezi běhy liší. Udržujte sdílené tajemství mimo historii shellu tam, kde nástroj podporuje čtení ze souboru nebo z výzvy.

Zaznamenejte pokus, aniž byste ho vyzradili

Zapište selhání ve formě, se kterou může správce pracovat: rozhraní, tvar identity, zda byla přítomna oblast a přesnou neveřejnou chybu. Udržujte živé uživatelské jméno mimo veřejné zprávy a oblast uvnitř. Redigování každé identity na stejný zástupný text skrývá právě ten nesoulad, který hledáte. Časové razítko je také důležité, protože brána, proxy a adresář vedou oddělené protokoly.

Poté zdokumentujte vítězný tvar pro uživatele, protože další člověk, který ho napíše špatně, otevře stejný tiket. Reset hesla neopraví požadavek, který stále končí ve špatném jmenném prostoru. Oblast je rozhodnutí o směrování a rozhodnutí o směrování se opravují správným pojmenováním.