Parth dilysu VPN: pa ofod enw cyfrif sy'n ennill?

Mae pob mewngofnod VPN yn glanio mewn rhyw ofod enw cyfrif, a'r parth yw'r detholydd sy'n penderfynu pa un. Nid yw'n dweud dim am y wlad, lleoliad y gweinydd na'r lefel ymddiriedaeth. Gall dau enw defnyddiwr unfath fyw mewn parthau gwahanol, a dyna pam mae cyfrinair cywir weithiau'n dilysu'r cyfrif anghywir. Mae'r llawlyfr hwn yn trwsio ffurf yr hunaniaeth yn gyntaf, yna'n olrhain y cais at y system a atebodd mewn gwirionedd.

Yr hyn mae'r parth yn ei ddewis

Mae porth yn derbyn enw defnyddiwr ac yn gorfod penderfynu ble i'w wirio. Y parth yw'r rhan o'r enw hwnnw, neu'r priodoledd wrth ei ymyl, sy'n dewis y gronfa ddata: cyfeiriadur, pwll RADIUS, ffeil cyfrifon lleol. Mae NPS Microsoft yn galw hwn yn enw parth ac yn cyfeirio ceisiadau cysylltu ag ef, tra bod dynodwr mynediad rhwydwaith EAP yn cario'r un syniad fel ôl-ddodiad ar ôl yr arwydd @ yn RFC 7542. Detholwyr yw'r ddau, ac nid oes yr un yn penderfynu a yw'r cymhwyster yn dda.

Mae'r gwahanu hwnnw'n cynhyrchu dau fethiant gwahanol iawn. Mae parth sy'n cyfeirio'n gywir gyda chyfrinair anghywir yn rhoi un gwrthodiad, tra gall parth sy'n cyfeirio at y gronfa ddata anghywir wrthod cyfrinair cywir neu dderbyn un sy'n perthyn i rywun arall. Nid yw'r un gwall yn sôn am y parth, a dyna pam mae'r diagnosis cyntaf bob amser yr un peth: darganfyddwch pa system a atebodd.

Mae cystrawen y parth yn perthyn i'r defnydd. Mae rhai gwasanaethau eisiau enw heb gymhwyso a phriodoledd, mae eraill eisiau user@domain, ac mae ychydig yn disgwyl ffurf â slaes gefn nad yw'r rhan fwyaf o ganllawiau yn sôn amdani.

Defnyddiwch y ffurf y mae'r backend yn ei disgwyl

Gofynnwch i'r gweithredwr pa ffurf i'w theipio cyn rhoi cynnig ar ôl-ddodiaid o diwtorial. Mae enw wedi'i gymhwyso â pharth yn cyrraedd backend sy'n disgwyl un syml fel arfer yn methu'r chwiliad yn hytrach na'r prawf cyfrinair. Yr un enw byr mewn dau gyfeiriadur yw'r achos lle mae parth coll yn gwneud y mwyaf o ddifrod.

Peidiwch â chymryd y cyfrif rheoli fel prawf. Efallai y bydd y consol gwe lle gweinyddwch y gwasanaeth yn dilysu yn erbyn ffeil leol, tra bod y twnnel yn gwirio cyfeiriadur hollol wahanol. Profwch gyda'r cymwysterau y byddai defnyddiwr go iawn yn eu defnyddio, ar y rhyngwyneb y byddai defnyddiwr go iawn yn ei ddefnyddio. Nid yw mewngofnod llwyddiannus i'r consol yn dweud dim am y parth y mae'r porth yn ei gymhwyso i ddilysu VPN.

Mae porwyr a chleientiaid post weithiau'n cadw hunaniaeth flaenorol ac yn ei hailgyflwyno'n dawel. Pan fydd yr enw defnyddiwr a adroddwyd yn wahanol i'r un a deipiwyd, y storfa honno yw'r lle cyntaf i edrych.

Olrheiniwch y cais trwy'r procsi

Ar flaen FreeRADIUS, datgenir parthau yn y ffurfweddiad procsi, a'r ôl-ddodiad datganedig sy'n penderfynu pa weinydd cartref sy'n derbyn y cais. Darllenwch y ffeil honno cyn newid unrhyw beth, oherwydd mae cais nad yw'n cyfateb i unrhyw barth yn cael ei drin yn lleol yn ddiofyn.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

Mae grep yn dangos pa ôl-ddodiaid sy'n bodoli ac at ba bwll y mae pob un yn anelu. Mae'r alwad radtest yn anfon enw â pharth a chyfrinair anghywir yn fwriadol, felly mae gwrthodiad yn profi bod y llwybr a'r prawf cymhwyster wedi rhedeg. Mae llinellau'r log o amgylch y cais hwnnw'n dangos a gafodd yr enw ei dynnu cyn y procsi a pha weinydd cartref a'i cymerodd. Os nad yw'r log yn dangos unrhyw gyfatebiaeth parth o gwbl, ni adawodd y cais y gweinydd lleol byth a'r ôl-ddodiad yw'r broblem, nid y cyfrinair.

Newidiwch un peth ar y tro ac ailadroddwch y cais, oherwydd dim ond pan fydd y mewnbwn yn wahanol rhwng rhediadau y mae'r log yn gwahanu llwybro oddi wrth fethiant cymhwyster. Cadwch y gyfrinach a rennir allan o hanes y shell lle mae'r offeryn yn cefnogi ei darllen o ffeil neu o anogwr.

Cofnodwch y cais heb ei ollwng

Ysgrifennwch y methiant ar ffurf y gall gweinyddwr weithredu arni: y rhyngwyneb, ffurf yr hunaniaeth, a oedd parth yn bresennol, a'r union wall nad yw'n gyfrinach. Cadwch yr enw defnyddiwr byw allan o adroddiadau cyhoeddus a chadwch y parth i mewn. Mae golygu pob hunaniaeth i'r un dalfan yn cuddio'n union yr anghydweddiad rydych yn ceisio'i ganfod. Mae'r stamp amser yn bwysig hefyd, gan fod y porth, y procsi a'r cyfeiriadur yn cadw logiau ar wahân.

Yna dogfennwch y ffurf fuddugol i ddefnyddwyr, oherwydd bydd y person nesaf sy'n ei theipio'n anghywir yn agor yr un tocyn. Nid yw ailosod cyfrinair yn trwsio cais sy'n parhau i lanio yn y gofod enw anghywir. Penderfyniad llwybro yw'r parth, a phenderfyniadau llwybro sy'n cael eu trwsio drwy eu henwi'n gywir.