قلمرو احراز هویت VPN: کدام فضای نام حساب برنده می‌شود؟

هر ورود VPN در جایی فضای نام حساب فرود می‌آید و قلمرو همان انتخاب‌کننده‌ای است که تعیین می‌کند کدام‌یک. هیچ چیزی درباره کشور، موقعیت سرور یا سطح اعتماد نمی‌گوید. دو نام کاربری یکسان می‌توانند در قلمروهای مختلف باشند، به همین دلیل رمز درست گاهی حساب اشتباه را احراز می‌کند. این راهنما ابتدا شکل هویت را درست می‌کند و سپس درخواست را تا سامانه‌ای که واقعاً پاسخ داده دنبال می‌کند.

قلمرو چه چیزی را انتخاب می‌کند

دروازه نام کاربری می‌گیرد و باید تصمیم بگیرد آن را کجا بررسی کند. قلمرو بخشی از آن نام است، یا ویژگی کنار آن، که پایگاه داده را انتخاب می‌کند: یک دایرکتوری، یک مجموعه RADIUS، یک پرونده حساب محلی. NPS مایکروسافت آن را نام قلمرو می‌نامد و درخواست‌های اتصال را با آن هدایت می‌کند، در حالی که شناسه دسترسی شبکه EAP همان ایده را به‌عنوان پسوند پس از علامت @ در RFC 7542 حمل می‌کند. هر دو انتخاب‌کننده‌اند و هیچ‌کدام تعیین نمی‌کند که اعتبارنامه خوب است یا نه.

این جدایی دو نوع خرابی کاملاً متفاوت پدید می‌آورد. قلمرویی که با رمز نادرست درست هدایت می‌کند یک رد می‌دهد، در حالی که قلمرویی که به پایگاه داده اشتباه هدایت می‌کند می‌تواند رمز درست را رد کند یا رمز متعلق به دیگری را بپذیرد. هیچ‌کدام از خطاها به قلمرو اشاره نمی‌کنند، به همین دلیل نخستین عیب‌یابی همیشه یکی است: بفهمید کدام سامانه پاسخ داد.

نحو قلمرو به استقرار تعلق دارد. برخی سرویس‌ها نام بدون صلاحیت به‌همراه یک ویژگی می‌خواهند، برخی user@domain می‌خواهند، و چندتایی شکل با بک‌اسلش را انتظار دارند که بیشتر راهنماها هرگز به آن اشاره نمی‌کنند.

از شکلی استفاده کنید که بک‌اند انتظار دارد

پیش از آزمایش پسوندهای یک آموزش، از اپراتور بپرسید چه شکلی را تایپ کنید. نامی که با دامنه مشخص شده و به بک‌اندی می‌رسد که نام ساده انتظار دارد، معمولاً در جستجو شکست می‌خورد نه در بررسی رمز. همان نام کوتاه در دو دایرکتوری همان موردی است که قلمرو گمشده بیشترین آسیب را می‌زند.

حساب مدیریت را دلیل نگیرید. ممکن است کنسول وبی که سرویس را با آن مدیریت می‌کنید در برابر یک پرونده محلی احراز هویت کند، در حالی که تونل دایرکتوری کاملاً دیگری را بررسی می‌کند. با اعتبارنامه‌ای که کاربر واقعی به کار می‌برد، در رابطی که کاربر واقعی به کار می‌برد آزمایش کنید. ورود موفق به کنسول هیچ چیزی درباره قلمرویی که دروازه به احراز هویت VPN اعمال می‌کند نمی‌گوید.

مرورگرها و برنامه‌های ایمیل گاهی هویت قبلی را ذخیره می‌کنند و بی‌صدا دوباره ارسال می‌کنند. وقتی نام کاربری گزارش‌شده با نام تایپ‌شده تفاوت دارد، همان حافظه پنهان نخستین جایی است که باید نگاه کنید.

درخواست را از پروکسی رد کنید

در یک فرانت‌اند FreeRADIUS، قلمروها در پیکربندی پروکسی اعلام می‌شوند و پسوند اعلام‌شده تعیین می‌کند کدام سرور خانگی درخواست را دریافت می‌کند. پیش از تغییر هر چیزی آن پرونده را بخوانید، چون درخواستی که با هیچ قلمرویی مطابقت ندارد به‌طور پیش‌فرض محلی پردازش می‌شود.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep نشان می‌دهد چه پسوندهایی وجود دارند و هرکدام به کدام مجموعه هدف می‌گیرد. فراخوان radtest نامی با قلمرو و رمزی عمداً نادرست می‌فرستد، پس یک رد ثابت می‌کند هم مسیر و هم بررسی اعتبارنامه اجرا شده‌اند. خطوط گزارش پیرامون آن تلاش نشان می‌دهد آیا نام پیش از پروکسی حذف شده و کدام سرور خانگی آن را گرفته است. اگر گزارش هیچ تطابق قلمرویی نشان ندهد، درخواست هرگز سرور محلی را ترک نکرده و مشکل پسوند است نه رمز.

هر بار یک چیز را تغییر دهید و تلاش را تکرار کنید، چون گزارش تنها زمانی مسیریابی را از شکست اعتبارنامه جدا می‌کند که ورودی میان اجراها متفاوت باشد. راز مشترک را بیرون از تاریخچه پوسته نگه دارید، جایی که ابزار خواندن آن را از پرونده یا اعلان پشتیبانی می‌کند.

تلاش را بدون افشا ثبت کنید

خرابی را به شکلی بنویسید که مدیر بتواند بر اساس آن اقدام کند: رابط، شکل هویت، اینکه قلمرو وجود داشت یا نه، و خطای دقیق غیرراز. نام کاربری زنده را بیرون از گزارش‌های عمومی و قلمرو را درون آن نگه دارید. پوشاندن هر هویت با همان جای‌نگهدار دقیقاً همان ناسازگاری‌ای را پنهان می‌کند که به دنبالش هستید. زمان هم مهم است، چون دروازه، پروکسی و دایرکتوری گزارش‌های جداگانه نگه می‌دارند.

سپس شکل برنده را برای کاربران مستند کنید، چون نفر بعدی که آن را اشتباه تایپ کند همان تیکت را باز می‌کند. بازنشانی رمز درخواستی را که مدام در فضای نام اشتباه فرود می‌آید درست نمی‌کند. قلمرو یک تصمیم مسیریابی است و تصمیم‌های مسیریابی با نام‌گذاری درست اصلاح می‌شوند.