VPN-todennuksen alue: mikä tilin nimiavaruus voittaa?

Jokainen VPN-kirjautuminen päätyy johonkin tilin nimiavaruuteen, ja alue on valitsin, joka päättää mihin. Se ei kerro mitään maasta, palvelimen sijainnista tai luottamustasosta. Kaksi samanlaista käyttäjänimeä voi elää eri alueilla, minkä vuoksi oikea salasana toisinaan todentaa väärän tilin. Tämä opas korjaa ensin identiteetin muodon ja seuraa sitten pyyntöä järjestelmään, joka todella vastasi.

Miten alue valitsee

Yhdyskäytävä vastaanottaa käyttäjänimen ja sen on päätettävä, mistä se tarkistetaan. Alue on se osa nimeä tai sen vieressä oleva attribuutti, joka valitsee tietokannan: hakemisto, RADIUS-ryhmä, paikallinen tilitiedosto. Microsoftin NPS kutsuu sitä aluenimeksi ja ohjaa yhteydenottopyynnöt sen avulla, kun taas EAP-verkon käyttöoikeustunniste kantaa saman idean liitteenä @-merkin jälkeen kohdassa RFC 7542. Molemmat ovat valitsimia, eikä kumpikaan päätä, ovatko tunnukset hyviä.

Tämä erottelu tuottaa kaksi hyvin erilaista vikaa. Alue, joka ohjaa oikein väärällä salasanalla, antaa yhden hylkäyksen, kun taas väärään tietokantaan ohjaava alue voi hylätä oikean salasanan tai hyväksyä jonkun toisen. Kumpikaan virhe ei mainitse aluetta, siksi ensimmäinen diagnoosi on aina sama: selvitä, mikä järjestelmä vastasi.

Alueen syntaksi kuuluu käyttöönottoon. Jotkin palvelut haluavat kvalifioimattoman nimen ja attribuutin, toiset haluavat user@domain, ja harvat odottavat muotoa, jossa on kenoviiva, jota useimmat oppaat eivät mainitse.

Käytä muotoa, jota taustajärjestelmä odottaa

Kysy operaattorilta, mikä muoto kirjoitetaan, ennen kuin kokeilet oppaan liitteitä. Verkkotunnuksella kvalifioitu nimi, joka saapuu yksinkertaista nimeä odottavaan taustajärjestelmään, epäonnistuu yleensä haussa eikä salasanan tarkistuksessa. Sama lyhyt nimi kahdessa hakemistossa on tapaus, jossa puuttuva alue aiheuttaa eniten vahinkoa.

Älä pidä hallintatiliä todisteena. Verkkokonsoli, jossa palvelua hallinnoit, voi todentaa paikallista tiedostoa vasten, kun taas tunneli tarkistaa täysin toista hakemistoa. Testaa tunnuksilla, joita oikea käyttäjä käyttäisi, käyttöliittymässä, jota oikea käyttäjä käyttäisi. Onnistunut konsolikirjautuminen ei kerro mitään alueesta, jota yhdyskäytävä soveltaa VPN-todennukseen.

Selaimet ja sähköpostiohjelmat tallentavat joskus aiemman identiteetin ja lähettävät sen hiljaa uudelleen. Kun raportoitu käyttäjänimi eroaa kirjoitetusta, se välimuisti on ensimmäinen paikka, josta katsoa.

Seuraa pyyntöä välityspalvelimen läpi

FreeRADIUS-edustassa alueet ilmoitetaan välityspalvelimen kokoonpanossa, ja ilmoitettu liite päättää, mikä kotipalvelin vastaanottaa pyynnön. Lue tiedosto ennen kuin muutat mitään, sillä pyyntö, joka ei vastaa mitään aluetta, käsitellään oletuksena paikallisesti.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep näyttää, mitkä liitteet ovat olemassa ja mihin ryhmään kukin tähtää. radtest-kutsu lähettää nimen, jossa on alue, ja tarkoituksella väärän salasanan, joten hylkäys todistaa sekä reitin että tunnusten tarkistuksen toimineen. Yrityksen ympärillä olevat lokirivit näyttävät, poistettiinko nimi ennen välitystä ja mikä kotipalvelin otti sen. Jos loki ei näytä lainkaan aluen täsmäytystä, pyyntö ei koskaan lähtenyt paikalliselta palvelimelta ja ongelma on liitteessä, ei salasanassa.

Muuta yhtä asiaa kerrallaan ja toista yritys, sillä loki erottaa reitityksen tunnusten epäonnistumisesta vain, kun syöte eroaa ajojen välillä. Pidä jaettu salaisuus poissa komentotulkin historiasta silloin, kun työkalu tukee sen lukemista tiedostosta tai kehotteesta.

Kirjaa yritys vuotamatta sitä

Kirjoita vika muotoon, jonka perusteella ylläpitäjä voi toimia: käyttöliittymä, identiteetin muoto, oliko alue läsnä ja tarkka ei-salainen virhe. Pidä elävä käyttäjänimi poissa julkisista raporteista ja alue niiden sisällä. Jokaisen identiteetin peittäminen samalla paikkamerkillä kätkee juuri sen epäsuhdan, jota etsit. Aikaleimalla on myös merkitystä, sillä yhdyskäytävä, välityspalvelin ja hakemisto pitävät erillisiä lokeja.

Dokumentoi sitten voittava muoto käyttäjille, sillä seuraava sen väärin kirjoittava avaa saman tiketin. Salasanan vaihto ei korjaa pyyntöä, joka päätyy yhä väärään nimiavaruuteen. Alue on reitityspäätös, ja reitityspäätökset korjataan nimeämällä ne oikein.