Mewngofnodi VPN yn stopio ar ôl Access-Challenge RADIUS

Mae eich cyfrinair yn gywir, mae mewngofnodi VPN yn methu beth bynnag, ac efallai bod gweinydd RADIUS wedi gwneud yn union yr hyn y dywedwyd wrtho. Yn ôl pob tebyg cafodd y porth Access-Challenge, ni ddangosodd unrhyw beth defnyddiol, ac yna naill ai goramserodd neu triniodd yr ateb hwnnw fel gwrthodiad. O safbwynt y cleient mae’n edrych fel manylion mewngofnodi gwael neu dwnnel wedi torri. Mae’r achos fel arfer yn gorwedd yng nghanol sgwrs na chafodd neb ei chofnodi.

Un mewngofnodiad, dau gyfnewid RADIUS

Pan fo’r backend eisiau ail ffactor, nid yw’n ateb y cais cyntaf gyda derbyn na gwrthod. Mae’n ateb gyda chod 11 ac yn aros am ateb nesaf y defnyddiwr, y mae’n rhaid i’r porth ei anfon yn ôl mewn cais dilynol. Mae’r cais dilynol hwnnw’n perthyn i’r un sgwrs dilysu, nid i ymgais fewngofnodi newydd.

Mewn sefyllfa sy’n gweithio mae’r defnyddiwr yn gweld ail anogwr: cyfrinair yn gyntaf, yna cod un-tro, neu un anogwr cyfun os yw’r gweithredwr wedi dogfennu un. Mewn sefyllfa wedi torri ni fydd yr ail anogwr byth yn ymddangos ac mae’r mewngofnodi yn methu’n syml.

Dyma’r symptom i’w erlid, ac mae’n hawdd ei gadarnhau o ochr y cleient yn unig: os yw cleient y VPN yn gofyn am un gyfrinach yn union ac yna’n gwrthod cyfrinair rydych chi’n gwybod sy’n ddilys, mae’r cyfnewid wedi gorffen wrth yr her yn ôl pob tebyg.

Beth mae’r her yn ei gario mewn gwirionedd

Mae manyleb RADIUS yn disgrifio cod 11 yn adran 4.4 ac yn caniatáu dau briodwedd sy’n bwysig yma. Mae Reply-Message yn dal testun ar gyfer y defnyddiwr, ac mae State yn dal gwerth afloyw y mae’r gweinydd eisiau ei gael yn ôl. Nid yw’r NAS i fod i ddehongli State, dim ond ei ddychwelyd yn ddigyfnewid.

Mae’r cais dilynol yn defnyddio Identifier newydd a Request Authenticator newydd, ac mae’n rhaid iddo gario’r un gwerth State ynghyd ag ateb y defnyddiwr. Mae’r gweinydd yn ei baru â’r her sy’n aros drwy’r State hwnnw, a dyna pam na all porth sy’n ailgynhyrchu neu’n gollwng y priodwedd gwblhau’r seremoni. Mae’r response authenticator ar bob ateb hefyd yn gorfod dilysu, neu dylai’r NAS daflu’r pecyn.

Mae adran 4.4 yn ychwanegu’r manylyn sy’n egluro’r rhan fwyaf o fethiannau distaw: mae NAS na all gefnogi heriau yn trin Access-Challenge fel gwrthodiad. Os yw gwasanaeth VPN eich porth yn hŷn na’r gefnogaeth honno neu’n ei hepgor, mae cais y backend am ail ffactor yn troi’n «dilysu wedi methu» ar unwaith heb unrhyw anogwr o gwbl.

Ble mae’r cais cadwynedig yn mynd ar goll

Y prif amheuyn yw llwybr yr anogwr, nid y manylion mewngofnodi. Nid yw porth sy’n dangos maes OTP ar gyfer mewngofnodi gwe yn gwneud hynny’n awtomatig ar gyfer gwasanaeth y VPN, ac mae rhai pyrth yn trosglwyddo her yn unig i gleientiaid sy’n hysbysebu’r gallu. Profwch yr un cyfrif ar y ddau fynedfa; os yw’r porth yn gweithio ac nad yw’r VPN, rydych chi’n edrych ar y trosglwyddiad, nid y tocyn.

Fformat y mewnbwn yw’r ail amheuyn. Mae cydgysylltu cyfrinair a chod heb y gwahanwr dogfenedig gan y gwerthwr, neu adael i fanylion mewngofnodi wedi’u cadw ailchwarae hen god, yn methu mewn ffordd sy’n edrych yn union fel cyfrinair anghywir. Defnyddiwch yr anogwr ar wahân neu’r fformat cyfun sydd wedi’i ddogfennu gan y gweithredwr, ac ni ddylech byth ddyfeisio gwahanwr.

Mae diffygion penodol i ryddhad yn bodoli, ond nid yw rhestr o fersiynau wedi’u cywiro o flynyddoedd yn ôl yn ddiagnosis ar gyfer defnydd heddiw. Darllenwch nodiadau rhyddhau’r meddalwedd rydych chi’n ei redeg mewn gwirionedd, a chadwch y cam cyfnewid a arsyllwyd fel eich tystiolaeth.

Olrhewch un ymgais o ddechrau i ddiwedd

Ailgynhyrchwch unwaith, gyda dadfygio ar ochr y gweinydd ymlaen, a chadwch bob sesiwn arall y tu allan i’r ffenestr gofnodi:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

Yn yr allbwn, chwiliwch am siâp y sgwrs yn hytrach nag un llinell. Access-Request cyntaf gyda Identifier 3, Access-Challenge yn cario State, yna ail Access-Request gyda Identifier 4 sy’n ailadrodd y State hwnnw ac yn cynnwys ateb y defnyddiwr. Os yw’r ail gais ar goll, ni wnaeth y porth ddilyn byth. Os yw’n cyrraedd heb State, ni all y gweinydd ei baru â’r her sy’n aros a bydd fel arfer yn gwrthod.

Cuddied manylion mewngofnodi, tocynnau a data hunaniaeth diangen pan fyddwch yn rhannu’r trywydd, a chydberthynwch ddigwyddiadau o’r un ymgais yn lle cymysgu ailgeisiadau o sawl tab porwr. Mae stampiau amser yn ffrind i chi yma; mae her sy’n cyrraedd ar ôl i’r cleient roi’r gorau iddi yn edrych fel gwrthodiad i’r defnyddiwr ac fel ateb araf yn y cofnod.

Y cyflwr gorffenedig rydych chi ei eisiau yw sgwrs gyflawn, awdurdodedig, wedi’i dilyn gan y mynediad arfaethedig i’r gwasanaeth. Mae ateb yn cyrraedd o weinydd RADIUS yn profi llawer llai na hynny.