VPN-i autentimisvaldkond: milline konto nimeruum võidab?

Iga VPN-i sisselogimine maandub mõnes konto nimeruumis ja valdkond on valija, mis otsustab, millises. See ei ütle midagi riigi, serveri asukoha ega usaldustaseme kohta. Kaks identset kasutajanime võivad elada eri valdkondades, mistõttu õige parool autentib mõnikord vale konto. See juhend parandab esmalt identiteedi vormi ja jälgib seejärel päringut süsteemini, mis tegelikult vastas.

Mida valdkond valib

Lüüs saab kasutajanime ja peab otsustama, kust seda kontrollida. Valdkond on selle nime osa või selle kõrval olev atribuut, mis valib andmebaasi: kataloog, RADIUS-i kogum, kohalik kontofail. Microsofti NPS nimetab seda valdkonna nimeks ja suunab sellega ühendusepäringuid, samal ajal kui EAP võrgu juurdepääsu identifikaator kannab sama ideed sufiksina @-märgi järel dokumentis RFC 7542. Mõlemad on valijad ja kumbki ei otsusta, kas mandaat on hea.

See eraldus tekitab kaks väga erinevat tõrget. Valdkond, mis suunab õigesti vale parooliga, annab ühe keeldumise, samas kui vale andmebaasi suunav valdkond võib keelduda õigest paroolist või võtta vastu kellegi teise oma. Kumbki viga ei maini valdkonda, seepärast on esimene diagnoos alati sama: selgitage välja, milline süsteem vastas.

Valdkonna süntaks kuulub juurutuse juurde. Mõned teenused tahavad kvalifitseerimata nime pluss atribuuti, teised tahavad user@domain, ja vähesed ootavad kurakriipsuga vormi, mida enamik juhendeid ei maini.

Kasutage vormi, mida taust süsteem ootab

Küsige operaatorilt, millist vormi sisestada, enne kui proovite õpetusest pärit sufikseid. Domeeniga kvalifitseeritud nimi, mis jõuab lihtsat nime ootava taustani, ebaõnnestub tavaliselt otsingus, mitte parooli kontrollis. Sama lühike nimi kahes kataloogis on juhtum, kus puuduv valdkond teeb kõige rohkem kahju.

Ärge pidage halduskontot tõendiks. Veebikonsool, kus teenust haldad, võib autentida kohaliku faili vastu, samal ajal kui tunnel kontrollib hoopis teist kataloogi. Testige volitustega, mida kasutaks päris kasutaja, liidesel, mida kasutaks päris kasutaja. Edukas konsooli sisselogimine ei ütle midagi valdkonna kohta, mida lüüs VPN-i autentimisele rakendab.

Brauserid ja meilikliendid vahemällu salvestavad mõnikord varasema identiteedi ja saadavad selle vaikselt uuesti. Kui teatatud kasutajanimi erineb sisestatud nimest, on see vahemälu esimene koht, kuhu vaadata.

Jälgige päringut puhverserveri kaudu

FreeRADIUS-i esiosas deklareeritakse valdkonnad puhverserveri konfiguratsioonis ja deklareeritud sufiks otsustab, milline koduserver päringu saab. Lugege seda faili enne millegi muutmist, sest ühegi valdkonnaga mittesoovituv päring töödeldakse vaikimisi kohapeal.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep näitab, millised sufiksid on olemas ja millist kogumit igaüks sihib. radtest-kutse saadab valdkonnaga nime ja tahtlikult vale parooli, seega keeldumine tõestab, et töötasid nii marsruut kui ka mandaadi kontroll. Selle katse ümber olevad logiread näitavad, kas nimi eemaldati enne puhverserverit ja milline koduserver selle vastu võttis. Kui logi ei näita üldse valdkonna vastet, ei lahkunud päring kohalikust serverist ja probleem on sufiksis, mitte paroolis.

Muutke korraga ühte asja ja korrake katset, sest logi eristab marsruutimist mandaadi tõrkest ainult siis, kui sisend erineb käivituste vahel. Hoidke ühine saladus shelli ajaloost väljas seal, kus tööriist toetab selle lugemist failist või viipest.

Kirjutage katse üles seda lekitamata

Kirjutage tõrge kujul, millega administraator saab tegutseda: liides, identiteedi vorm, kas valdkond oli olemas, ja täpne mitte-salajane viga. Hoidke elav kasutajanimi avalikest aruannetest väljas ja valdkond sees. Iga identiteedi redigeerimine sama kohatäitega varjab täpselt selle mittevastavuse, mida otsite. Ajatempel on samuti oluline, sest lüüs, puhverserver ja kataloog peavad eraldi logisid.

Seejärel dokumenteerige võiduvorm kasutajatele, sest järgmine inimene, kes selle valesti kirjutab, avab sama pileti. Parooli lähtestamine ei paranda päringut, mis jätkuvalt maandub valesse nimeruumi. Valdkond on marsruutimisotsus ja marsruutimisotsused parandatakse nende õige nimetamisega.