VPN autentifikazio erreinua: zein kontu-izen-espaziok irabazten du?

VPN saio-hasiera bakoitza kontu-izen-espazio batean amaitzen da, eta erreinua zein aukeratzen duen erabakitzen duen hautatzailea da. Ez du ezer esaten herrialdeaz, zerbitzariaren kokapenaz edo konfiantza-mailaz. Bi erabiltzaile-izen berdin erreinu desberdinetan bizi daitezke, eta horregatik pasahitz zuzen batek batzuetan kontu okerra autentifikatzen du. Gidak lehenengo identitatearen forma zuzentzen du, gero eskaera benetan erantzun zuen sistemaraino jarraitzen du.

Zer aukeratzen duen erreinuak

Pasabide batek erabiltzaile-izen bat jasotzen du eta non egiaztatu erabaki behar du. Erreinua izenaren zati hori da, edo alboan dagoen atributua, datu-basea hautatzen duena: direktorio bat, RADIUS multzo bat, kontu-fitxategi lokal bat. Microsoft-en NPS-k erreinu-izen deitzen dio eta harekin bideratzen ditu konexio-eskaerak, eta EAP sare-sarbidearen identifikatzaileak ideia bera eramaten du @ zeinuaren ondorengo atzizki gisa RFC 7542 dokumentuan. Biak hautatzaileak dira, eta batek ere ez du erabakitzen kredentziala ona den.

Bereizketak oso desberdinak diren bi hutsegite sortzen ditu. Pasahitz okerrarekin ondo bideratzen duen erreinuak ukapen bat ematen du, eta datu-base okerreko bideratzen duen erreinuak pasahitz zuzena ukatu edo beste norbaitena onar dezake. Bi erroreek ez dute erreinuaren berri ematen, eta horregatik lehen diagnostikoa beti da bera: jakizu zein sistemak erantzun zuen.

Erreinuaren sintaxia hedapenaren parte da. Zerbitzu batzuek izen kualifikatu gabea eta atributu bat nahi dute, besteek user@domain nahi dute, eta gutxi batzuek gida gehienek aipatzen ez duten alderantzizko barra duen forma espero dute.

Erabili backendak espero duen forma

Galdetu operadoreari zein forma idatzi tutoretza bateko atzizkiak probatu aurretik. Izen soil bat espero duen backend batera iristen den domeinu-kualifikatutako izenak normalean bilaketan huts egiten du, ez pasahitzaren egiaztapenean. Bi direktoriok izen labur bera dute kasu hori, non falta den erreinuak kalte handiena egiten duen.

Ez hartu kudeaketa-kontua froga gisa. Zerbitzua administratzen duzun web kontsolak fitxategi lokal baten aurka autentifika dezake, eta tunelak direktorio erabat desberdina egiaztatzen du. Probatu benetako erabiltzaile batek erabiliko lituzkeen kredentzialekin, benetako erabiltzaile batek erabiliko lukeen interfazean. Kontsolako saio-hasiera arrakastatsuak ez du ezer esaten pasabideak VPN autentifikazioari aplikatzen dion erreinuaz.

Arrakatzaileek eta posta-bezeroek batzuetan aurreko identitatea gordetzen dute eta isil-isilik berbidaltzen dute. Jakinarazitako erabiltzaile-izena idatzitakoaren desberdina denean, cache hori da lehen begiratzeko lekua.

Jarraitu eskaera proxian zehar

FreeRADIUS frontend batean, erreinuak proxyaren konfigurazioan deklaratzen dira, eta deklaratutako atzizkiak zehazten du zein etxeko zerbitzarik jasoko duen eskaera. Irakurri fitxategi hori ezer aldatu aurretik, erreinu batekin bat egiten ez duen eskaera lokaleki tratatzen baita lehenespenez.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep-ek erakusten du zein atzizki dauden eta zein multzoruntz bideratzen duen bakoitzak. radtest deiak erreinu bat duen izena eta nahita okerra den pasahitza bidaltzen ditu, beraz ukapen batek frogatzen du bai ibilbideak bai kredentzialen egiaztapenak funtzionatu zutela. Saiakera horren inguruko erregistro-lerroek erakusten dute izena proxia baino lehen kendu zen eta zein etxeko zerbitzarik hartu zuen. Erregistroak erreinuaren bat-etortzerik erakusten ez badu, eskaerak ez zuen zerbitzari lokala inoiz utzi eta atzizkia da arazoa, ez pasahitza.

Aldatu gauza bat aldi berean eta errepikatu saiakera, erregistroak bideratzea eta kredentzialen hutsegitea bereizten baititu soilik exekuzioen arteko sarrera desberdina denean. Mantendu partekatutako sekretua shellaren historian sartu gabe, tresnak fitxategi edo eskaera batetik irakurtzea onartzen duen lekuan.

Erregistratu saiakera filtratu gabe

Idatzi hutsegitea administratzaile batek jardun dezakeen forman: interfazea, identitatearen forma, erreinua zegoen ala ez, eta zehatza den sekretua ez den errorea. Mantendu erabiltzaile-izen bizia txosten publikoetatik kanpo eta erreinua barruan. Identitate bakoitza markatzaile berarekin erredaktatzeak bilatzen ari zaren desdoitze zehatza ezkutatzen du. Denbora-markak ere garrantzia du, pasabideak, proxyak eta direktorioak erregistro bereiziak eramaten baitituzte.

Gero dokumentatu irabazteko forma erabiltzaileentzat, hurrengo oker idazten duenak tiket bera irekiko baitu. Pasahitza berrezartzeak ez du konpontzen izen-espazio okerrean amaitzen jarraitzen duen eskaera. Erreinua bideratze-erabakia da, eta bideratze-erabakiak zuzen izendatuz konpontzen dira.