VPN saioa trabatuta gelditzen da RADIUS Access-Challenge baten ondoren

Pasahitza zuzena da, VPN saio-hasierak huts egiten du hala ere, eta RADIUS zerbitzariak agindutakoa zehatz-mehatz egin du agian. Atebideak Access-Challenge bat jaso zuen seguruenik, ez zuen ezer erabilgarririk erakutsi eta gero denbora-muga gainditu zen edo erantzun hori errefusapen gisa hartu zuen. Bezeroaren ikuspegitik kredentzial okerrak edo tunel hautsia dirudi. Kausa, normalean, inork harrapatu ez zuen elkarrizketa baten erdian dago.

Saio-hasiera bat, bi RADIUS truke

Backendak bigarren faktore bat nahi duenean, ez dio lehen eskaerari onarpen edo errefusapenekin erantzuten. 11 kodearekin erantzuten du eta erabiltzailearen hurrengo erantzunaren zain geratzen da; atebideak jarraipen-eskaera batean bidali behar du erantzun hori. Jarraipen-eskaera hori autentifikazio-elkarrizketa berari dagokio, ez saio-hasierako saiakera berri bati.

Funtzionatzen duen ezarpenetan erabiltzaileak bigarren galdera bat ikusten du: lehenik pasahitza, gero erabilera bakarreko kodea, edo galdera konbinatu bakarra operadoreak horrelako bat dokumentatu badu. Ezarpen hautsietan bigarren galdera ez da inoiz agertzen eta saio-hasierak huts egiten du besterik gabe.

Hori da jarraitu beharreko sintoma, eta erraza da bezeroaren aldetik bakarrik baieztatzea: VPN bezeroak sekretu bakarra eskatzen badu eta gero baliozkoa dakizun pasahitz bat errefusatzen badu, trukea erronkan amaitu zen ziurrenik.

Zer darama erronkak benetan

RADIUS zehaztapenak 4.4 atalean deskribatzen du 11 kodea eta hemen garrantzitsuak diren bi atributu onartzen ditu. Reply-Message-k erabiltzailearentzako testua dauka, eta State-k zerbitzariak itzultzea nahi duen balio opakua. NASak ez du State interpretatu behar, aldatu gabe itzuli besterik ez.

Jarraipen-eskaerak Identifier berri bat eta Request Authenticator berri bat erabiltzen ditu, eta State balio bera eta erabiltzailearen erantzuna eraman behar ditu. Zerbitzariak State horren bidez lotzen du zain dagoen erronkarekin, eta horregatik atributua birsortzen edo baztertzen duen atebide batek ezin du zeremonia osatu. Erantzun bakoitzeko response authenticator-ak ere balioztatu behar du, bestela NASak paketea baztertu beharko luke.

4.4 atalak isilpeko hutsegite gehienak azaltzen dituen xehetasuna gehitzen du: erronkak onartu ezin dituen NASak Access-Challenge errefusapen gisa hartzen du. Zure atebidearen VPN zerbitzua laguntza hori baino zaharragoa bada edo hura ezabatzen badu, backendak bigarren faktore eskatzea berehalako «autentifikazioak huts egin du» bihurtzen da, galderarik gabe.

Non galtzen da kateatutako eskaera

Lehen susmagarria galderaren bidea da, ez kredentziala. Web saio-hasieretarako OTP eremu bat erakusten duen atariak ez du automatikoki gauza bera egiten VPN zerbitzurako, eta atebide batzuek gaitasun hori iragartzen duten bezeroei soilik pasatzen diete erronka. Probatu kontu bera bi sarrera-puntuetan; atariak funtzionatzen badu eta VPNak ez, entrega ikusten ari zara, ez tokena.

Sarrera-formatua da bigarren susmagarria. Pasahitza eta kodea saltzaileak dokumentatutako bereizlerik gabe elkartzeak, edo gordetako kredentzial batek kode zaharra errepikatzen uzteak, pasahitz oker baten berdin-berdina dirudien huts egitea eragiten du. Erabili operadoreak dokumentatutako galdera bereizia edo formatu konbinatua, eta ez asmatu inoiz bereizlerik.

Bertsio espezifikoko akatsak badaude, baina duela urte batzuetako bertsio zuzenduen zerrenda ez da gaur egungo inplementaziorako diagnostikoa. Irakurri benetan exekutatzen duzun softwarearen bertsio-oharrak, eta gorde behatutako truke-fasea zure ebidentzia gisa.

Jarraitu saiakera bakarra hasieratik amaierara

Erreproduzitu behin, zerbitzariko arazketa aktibatuta, eta eduki beste saio guztiak harrapaketa-leihotik kanpo:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

Irteeran bilatu elkarrizketaren forma, lerro bakar bat baino gehiago. Lehen Access-Request bat Identifier 3-rekin, State daraman Access-Challenge bat, gero bigarren Access-Request bat Identifier 4-rekin, State hori errepikatu eta erabiltzailearen erantzuna barne hartzen duena. Bigarren eskaera falta bada, atebideak ez zuen inoiz jarraitu. State gabe iristen bada, zerbitzariak ezin du zain dagoen erronkarekin lotu eta normalean errefusatu egingo du.

Ezkutatu kredentzialak, tokenak eta beharrezkoak ez diren identitate-datuak traza partekatzean, eta erlazionatu saiakera bakarreko gertaerak, nabigatzaile-fitxa batzuetako berrizko saiakerak nahastu beharrean. Denbora-markak lagun dituzu hemen; bezeroak amore eman ondoren iristen den erronka errefusapen dirudi erabiltzailearentzat eta erantzun motel erregistroan.

Nahi duzun amaierako egoera elkarrizketa osatu eta baimendua da, eta ondoren zerbitzurako sarbide aurreikusita. RADIUS zerbitzaritik iristen den erantzun batek askoz gutxiago frogatzen du.