VPN-godkendelsesområde: hvilket kontonavnerum vinder?

Hvert VPN-login ender i et eller andet kontonavnerum, og området er den vælger, der afgør hvilket. Det siger intet om landet, serverplaceringen eller tillidsniveauet. To identiske brugernavne kan bo i forskellige områder, og derfor godkender en korrekt adgangskode nogle gange den forkerte konto. Denne vejledning retter først identitetsformen og sporer derefter anmodningen til det system, der faktisk svarede.

Hvad området vælger

En gateway modtager et brugernavn og skal beslutte, hvor det skal kontrolleres. Området er den del af navnet, eller attributten ved siden af, som vælger databasen: en mappe, en RADIUS-pulje, en lokal kontofil. Microsofts NPS kalder dette et områdenavn og ruter forbindelsesanmodninger med det, mens EAP-netværksadgangsidentifikatoren bærer samme idé som et suffiks efter @-tegnet i RFC 7542. Begge er vælgere, og ingen af dem afgør, om legitimationsoplysningerne er gode.

Den adskillelse giver to meget forskellige fejl. Et område, der ruter korrekt med en forkert adgangskode, giver én afvisning, mens et område, der ruter til den forkerte database, kan afvise en korrekt adgangskode eller acceptere en, der tilhører en anden. Ingen af fejlene nævner området, og derfor er den første diagnose altid den samme: find ud af, hvilket system der svarede.

Områdets syntaks hører til installationen. Nogle tjenester vil have et ukvalificeret navn plus en attribut, andre vil have user@domain, og et par forventer en form med omvendt skråstreg, som de fleste vejledninger aldrig nævner.

Brug den form, backend forventer

Spørg operatøren, hvilken form der skal skrives, før du prøver suffikser fra en vejledning. Et domænekvalificeret navn, der når en backend, som forventer et almindeligt, fejler normalt i opslaget snarere end i adgangskodekontrollen. Det samme korte navn i to mapper er det tilfælde, hvor et manglende område gør mest skade.

Behandl ikke administrationskontoen som bevis. Webkonsollen, hvor du administrerer tjenesten, godkender måske mod en lokal fil, mens tunnelen kontrollerer en helt anden mappe. Test med de legitimationsoplysninger, en rigtig bruger ville bruge, på det interface, en rigtig bruger ville bruge. Et vellykket konsollogin siger intet om det område, gatewayen anvender på VPN-godkendelse.

Browsere og mailklienter cacher nogle gange en tidligere identitet og sender den stille igen. Når det rapporterede brugernavn afviger fra det indtastede, er den cache det første sted at kigge.

Følg anmodningen gennem proxyen

På en FreeRADIUS-frontend erklæres områder i proxykonfigurationen, og det erklærede suffiks afgør, hvilken hjemmeserver der modtager anmodningen. Læs den fil, før du ændrer noget, fordi en anmodning, der ikke matcher noget område, som standard behandles lokalt.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep viser, hvilke suffikser der findes, og hvilken pulje hver peger på. radtest-kaldet sender et navn med et område og en bevidst forkert adgangskode, så en afvisning beviser, at både ruten og legitimationskontrollen kørte. Loglinjer omkring det forsøg viser, om navnet blev strippet før proxyen, og hvilken hjemmeserver der tog det. Hvis loggen slet ikke viser et områdematch, forlod anmodningen aldrig den lokale server, og suffikset er problemet, ikke adgangskoden.

Ændr én ting ad gangen, og gentag forsøget, fordi loggen kun adskiller routing fra legitimationsfejl, når inputtet er forskelligt mellem kørslerne. Hold den delte hemmelighed ude af shell-historikken, hvor værktøjet understøtter at læse den fra en fil eller en prompt.

Noter forsøget uden at lække det

Skriv fejlen i en form, en administrator kan handle på: interfacet, identitetsformen, om der var et område, og den præcise ikke-hemmelige fejl. Hold det levende brugernavn ude af offentlige rapporter, og hold området inde. At sløre hver identitet til samme pladsholder skjuler netop den uoverensstemmelse, du prøver at finde. Tidsstemplet betyder også noget, fordi gatewayen, proxyen og mappen fører separate logge.

Dokumentér derefter den vindende form for brugerne, fordi den næste person, der staver den forkert, åbner den samme sag. En nulstilling af adgangskoden løser ikke en anmodning, der bliver ved med at havne i det forkerte navnerum. Området er en routingbeslutning, og routingbeslutninger rettes ved at navngive dem korrekt.