VPN-aŭtentika sfero: kiu konta nomspaco venkas?

Ĉiu VPN-ensaluto alvenas en iun kontan nomspacon, kaj la sfero estas la selektilo, kiu decidas en kiun. Ĝi diras nenion pri la lando, la servila loko aŭ la fidnivelo. Du identaj uzantnomoj povas loĝi en malsamaj sferoj, tial ĝusta pasvorto foje aŭtentigas la malĝustan konton. Ĉi tiu gvidilo unue riparas la identecformon, poste spuras la peton ĝis la sistemo, kiu efektive respondis.

Kion la sfero elektas

Enirejo ricevas uzantnomon kaj devas decidi, kie kontroli ĝin. La sfero estas la parto de tiu nomo, aŭ la atributo apud ĝi, kiu elektas la datumbazon: dosierujo, RADIUS-aro, loka konta dosiero. La NPS de Microsoft nomas ĝin sfera nomo kaj direktas konektpetojn per ĝi, dum la EAP-retalira identigilo portas la saman ideon kiel sufikso post la signo @ en RFC 7542. Ambaŭ estas selektiloj, kaj neniu decidas, ĉu la legitimilo estas bona.

Tiu disigo produktas du tre malsamajn malsukcesojn. Sfero, kiu ĝuste direktas kun malĝusta pasvorto, donas unu rifuzon, dum sfero, kiu direktas al la malĝusta datumbazo, povas rifuzi ĝustan pasvorton aŭ akcepti iun alies. Neniu eraro mencias la sferon, tial la unua diagnozo ĉiam estas la sama: eltrovu, kiu sistemo respondis.

Sfera sintakso apartenas al la deplojo. Iuj servoj volas nekvalifikitan nomon plus atributon, aliaj volas user@domain, kaj kelkaj atendas formon kun inversa oblikvo, kiun plej multaj gvidiloj neniam mencias.

Uzu la formon, kiun la malantaŭaĵo atendas

Demandu la operatoron, kiun formon tajpi antaŭ ol provi sufiksojn el lernilo. Domene kvalifikita nomo, kiu atingas malantaŭaĵon atendante simplan, kutime malsukcesas ĉe la serĉo, ne ĉe la pasvorta kontrolo. La sama mallonga nomo en du dosierujoj estas la kazo, kie mankanta sfero kaŭzas la plej grandan damaĝon.

Ne traktu la administran konton kiel pruvon. La retkonsolo, kie vi administras la servon, eble aŭtentigas kontraŭ loka dosiero, dum la tunelo kontrolas tute alian dosierujon. Testu per la legitimiloj, kiujn reala uzanto uzus, sur la interfaco, kiun reala uzanto uzus. Sukcesa konsola ensaluto diras nenion pri la sfero, kiun la enirejo aplikas al VPN-aŭtentigo.

Retumiloj kaj retpoŝtaj klientoj foje kaŝmemorigas antaŭan identecon kaj silenteme resendas ĝin. Kiam la raportita uzantnomo diferencas de la tajpita, tiu kaŝmemoro estas la unua loko por rigardi.

Spuru la peton tra la prokura

Ĉe FreeRADIUS-fronto, sferoj estas deklaritaj en la prokura agordo, kaj la deklarita sufikso decidas, kiu hejmservilo ricevas la peton. Legu tiun dosieron antaŭ ol ŝanĝi ion, ĉar peto kongruanta kun neniu sfero estas pritraktata loke defaŭlte.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep montras, kiuj sufiksoj ekzistas kaj kiun aron ĉiu celas. La radtest-voko sendas nomon kun sfero kaj intence malĝustan pasvorton, do rifuzo pruvas, ke kaj la vojo kaj la legitimila kontrolo funkciis. Protokolaj linioj ĉirkaŭ tiu provo montras, ĉu la nomo estis fortranĉita antaŭ la prokurado kaj kiu hejmservilo prenis ĝin. Se la protokolo tute ne montras sferan kongruon, la peto neniam forlasis la lokan servilon kaj la sufikso estas la problemo, ne la pasvorto.

Ŝanĝu unu aferon samtempe kaj ripetu la provon, ĉar la protokolo disigas vojigon disde legitimila malsukceso nur kiam la enigo diferencas inter ruloj. Tenu la komunan sekreton ekster la ŝela historio, kie la ilo subtenas legadon el dosiero aŭ invito.

Registru la provon sen malkaŝi ĝin

Skribu la malsukceson en formo, sur kiu administranto povas agi: la interfaco, la identecformo, ĉu sfero ĉeestis, kaj la precizan ne-sekretan eraron. Tenu la vivan uzantnomon ekster publikaj raportoj kaj la sferon interne. Redakti ĉiun identecon al la sama anstataŭilo kaŝas ĝuste la miskongruon, kiun vi serĉas. La tempstampo ankaŭ gravas, ĉar la enirejo, la prokura kaj la dosierujo tenas apartajn protokolojn.

Poste dokumentu la venkan formon por uzantoj, ĉar la sekva persono, kiu tajpos ĝin malĝuste, malfermos la saman bileton. Pasvorta restarigo ne ripareas peton, kiu daŭre alvenas en la malĝustan nomspacon. La sfero estas vojiga decido, kaj vojgaj decidoj ripariĝas per ĝusta nomado.