Sut mae mewngofnodi VPN yn cyrraedd RADIUS a'ch darparwr hunaniaeth
Dilynwch fewngofnodi VPN o'r cleient i gais RADIUS y porth, y darparwr hunaniaeth y tu ôl iddo, a'r polisi a gymhwysir ar ôl y derbyniad.
Yr wythnos diwethaf gallai defnyddiwr fewngofnodi i'r VPN ac eto lanio ar rwydwaith lle nad oedd dim yn datrys. Dywedodd y cleient fod cysylltiad, dywedodd log y porth Access-Accept, a dywedodd y tîm hunaniaeth fod y cyfrif yn iawn. Roedd y mewngofnodi wedi gweithio; nid oedd yr awdurdodiad y tu ôl iddo. Pan fydd mewngofnodi VPN yn methu, cerddaf y llwybr y mae'r cais yn ei gymryd mewn gwirionedd — cleient, porth, gweinydd RADIUS, darparwr hunaniaeth — a stopiaf yn y cam cyntaf y mae ei ateb yn anghytuno â'r nesaf.
Nid yw'r cleient byth yn siarad RADIUS
Beth bynnag mae'r ap ar y gliniadur yn ei ddangos, ei gam cyntaf yw'r protocol VPN: IKEv2, OpenVPN, WireGuard, neu gleient sy'n seiliedig ar TLS. Nid yw RADIUS yn ymddangos yn y cyfnewid hwnnw. Mae'r cleient yn dilysu ei hun i'r porth gyda thystysgrif, enw defnyddiwr a chyfrinair, neu ddull EAP a gludir y tu mewn i osodiad y tiwnel.
Mae hynny'n bwysig pan fyddwch yn darllen logiau, oherwydd y porth sy'n cynhyrchu'r gwall dilysu cyffredinol a wel y defnyddiwr, ar ôl iddo fod wedi siarad â rhywbeth arall yn barod. Os na fydd y cleient byth yn cyrraedd y porth, nid oes cais RADIUS i'w ddadfygio, ac mae awr a dreulir ar y gweinydd RADIUS yn wastraff. Cadarnhewch fod y tiwnel wedi codi o gwbl cyn i chi gyffwrdd â'r backend.
Y porth yw cleient RADIUS
Unwaith y bydd gosodiad y tiwnel yn cyrraedd y pwynt lle mae'n rhaid gwirio manylion mewngofnodi, mae'r porth yn dod yn weinydd mynediad rhwydwaith. Mae'n adeiladu Access-Request: User-Name, cyfrinair neu lwyth EAP, NAS-IP-Address neu NAS-Identifier, a Message-Authenticator pan fydd y dull yn galw am un. Mae'r cais yn mynd i UDP 1812 yn ddiofyn, a chyfrifo i 1813. Mae defnyddiadau hŷn yn dal i ddefnyddio 1645 a 1646, felly mae rheol mur tân a ysgrifennwyd ar gyfer un pâr yn esbonio llawer o fethiannau tawel.
Mae'r ddwy ochr yn rhannu cyfrinach, ac nid yw'n fanylyn mewngofnodi defnyddiwr. Mae'n llofnodi'r cyfnewid, a gwirir pob ateb yn ei herbyn. Ffurfweddwch y gyfrinach yn wahanol ar y ddwy ochr ac ni fydd y gweinydd yn ateb â chyfrinach ddrwg — mae'n gollwng y cais neu mae'r ateb yn methu'r gwiriad, felly mae'r porth yn adrodd am amseriad allan. Mae cyfrinach anghywir a gweinydd marw yn edrych yr un fath o'r porth, a dyna pam rwy'n profi'r cam ag offeryn cleient cyn beio'r cyfeiriadur.
Mae'r protocol yn fach ac yn hen — mae RFC 2865 yn diffinio'r cyfnewid dilysu — ond yr atrybiodau y mae'n eu cludo yw'r sylfaen ar gyfer y rhan fwyaf o bolisi VPN.
# ask the RADIUS server directly, from the gateway host
radtest alice 'test-password' 127.0.0.1 0 testing123
# watch the exchange the gateway actually sends
tcpdump -ni any -c 20 'udp port 1812'Efallai mai dim ond blaen y darparwr hunaniaeth yw'r gweinydd RADIUS
Mae pobl yn siarad am RADIUS a'r darparwr hunaniaeth fel petaent yr un blwch. Yn aml nid ydynt. Mae'r gweinydd RADIUS yn derbyn yr Access-Request ac yna'n gofyn i rywbeth arall — Active Directory dros LDAP neu Kerberos, ffeil defnyddiwr lleol, neu wasanaeth allanol — cyn ateb. Mae FreeRADIUS gyda'r modiwl LDAP neu krb5, Windows NPS, a Cisco ISE i gyd yn sefyll yn y safle hwn.
Mae'r gwahaniaeth yn penderfynu ble i edrych. Ateb darparwr hunaniaeth a gludir gan RADIUS yw cyfrinair a wrthodwyd. Amseriad allan yw'r rhan RADIUS-i-gyfeiriadur fel arfer: cyfrif rhwymo wedi dod i ben, cyfeiriadur na ellir ei gyrraedd, neu gais a gyfeiriwyd i'r backend anghywir. Os yw'r enw defnyddiwr yn cario ôl-ddodiad parth, gall y gweinydd lwybreiddio arno, a gall yr un cyfrif a anfonwyd fel CORP\alice ac [email protected] lanio mewn gwahanol leoedd. Ar Windows NPS, mae'r log Security yn cofnodi 6272 am ganiatâd a 6273 am wadiad, sy'n dweud wrthych a ddaeth y penderfyniad o NPS o gwbl.
Darllenwch y methiant yn y cam a'i cynhyrchodd
Mae un neges methu cysylltu yn cwmpasu pedwar methiant gwahanol. Cyn newid unrhyw beth, parwch y symptom â'r cam a'i cynhyrchodd.
| What you see | Where it comes from | First check |
|---|---|---|
| Gateway timeout, no reply | Shared secret mismatch, UDP 1812 blocked, unknown NAS, wrong server address | tcpdump at the gateway; radtest from the gateway host |
| Immediate reject | Credentials, account state, domain suffix, RADIUS policy | NPS 6273 or the FreeRADIUS auth log; test the account directly |
| Repeated challenge or MFA loop | Access-Challenge state not returned, or a token that expired mid-flow | Client prompt timing and the State attribute in debug output |
| Accept, then no access | Authorization attributes unmapped, wrong pool, route or ACL policy | Gateway policy and the attributes in the Access-Accept |
Y rhes olaf yw'r un sy'n anfon pobl at y tîm anghywir. Mae Access-Accept yn golygu bod y manylion mewngofnodi wedi'u derbyn; nid yw'n golygu bod y porth wedi rhoi'r defnyddiwr yn y pwll cywir neu wedi gwthio llwybrau. Dim ond os yw polisi'r porth yn eu darllen y mae atrybiodau grŵp yn bwysig. Rwyf wedi gweld mewngofnodi cywir yn glanio mewn pwll gwestai oherwydd bod mapio grwpiau wedi'i ffurfweddu ar ochr RADIUS ar gyfer atrybiad gwahanol i'r un y mae'r porth yn ei archwilio.
Dilynwch un mewngofnodi o'r dechrau i'r diwedd
Dewiswch un cyfrif prawf ac un porth, yna gwyliwch yr un ymgais yn y pedwar pwynt. Dechreuwch rediad dadfygio ar ochr RADIUS — mae freeradius -X yn argraffu'r cais a phob modiwl y mae'n ei gyffwrdd — dilynwch log dilysu'r porth, a rhedeg tcpdump ar gyfer y cyfnewid UDP. Cysylltwch unwaith a darllenwch y pedwar trywydd mewn trefn.
Yr hyn rydych am ei weld yw cytundeb: gofynnodd y porth am y defnyddiwr roeddech yn ei ddisgwyl, dewisodd y gweinydd RADIUS y backend roeddech yn ei ddisgwyl, dychwelodd y backend hwnnw benderfyniad, ac mae'r atrybiodau yn yr ateb yn cyd-fynd â'r polisi y mae'r porth yn ei gymhwyso. Y man cyntaf lle mae'r trywyddau'n anghytuno yw eich llinell fai. Os nad yw'r ateb yn cario atrybiad grŵp, mae'r broblem ar ochr RADIUS, nid yn y proffil VPN; os yw'r atrybiad yno ac mae'r porth yn ei anwybyddu, polisi'r porth yw'r broblem.
Un nodyn diogelwch tra byddwch yno. Mae'r gyfrinach a rennir yn amddiffyn y cyfnewid, ond nid yw'n amgryptio'r rhan fwyaf o atrybiodau. Os yw'r porth a'r gweinydd RADIUS ar wahanol segmentau, rhowch y cam hwnnw ar RADIUS dros TLS neu lwybr preifat. Nid yw tiwnel defnyddiwr wedi'i amgryptio yn dweud dim am y cyswllt backend.
Cyn i chi gau'r tocyn, cadarnhewch bedair peth. Gall y porth gyrraedd y gweinydd RADIUS ar y porthladd y mae wedi'i ffurfweddu ar ei gyfer mewn gwirionedd. Mae'r gyfrinach a rennir yn cyfateb ar y ddwy ochr. Mae'r gweinydd RADIUS yn datrys yr union ffurf ar enw defnyddiwr y mae'r porth yn ei anfon. Mae'r derbyniad yn cario'r atrybiodau y mae polisi'r porth eu hangen. Pan fydd y pedwar yn dal, mae mewngofnodi sy'n dal i fethu yn broblem polisi porth, nid yn un o ddilysu.