Conas a shroicheann logáil isteach VPN RADIUS agus do sholáthraí aitheantais
Lean logáil isteach VPN ón gcliant go dtí iarratas RADIUS an gheata, an soláthraí aitheantais taobh thiar de agus an beartas a chuirtear i bhfeidhm tar éis an ghlactha.
An tseachtain seo caite bhí úsáideoir in ann logáil isteach ar an VPN agus fós thuirling sé ar líonra nach raibh aon rud ag réiteach ann. Dúirt an cliant go raibh sé ceangailte, dúirt log an gheata Access-Accept, agus dúirt an fhoireann aitheantais go raibh an cuntas ceart. D'oibrigh an logáil isteach; níor oibrigh an t-údarú taobh thiar de. Nuair a theipeann ar logáil isteach VPN, siúlaím an cosán a thógann an t-iarratas i ndáiríre — cliant, geata, freastalaí RADIUS, soláthraí aitheantais — agus stopaim ag an chéad léim nach n-aontaíonn a freagra leis an gcéad cheann eile.
Ní labhraíonn an cliant RADIUS riamh
Cibé rud a thaispeánann an aip ar an ríomhaire glúine, is é an prótacal VPN an chéad léim aici: IKEv2, OpenVPN, WireGuard nó cliant bunaithe ar TLS. Ní thagann RADIUS chun cinn san mhalartú sin. Déanann an cliant féin-fhíordheimhniú ag an ngeata le teastas, le hainm úsáideora agus le focal faire, nó le modh EAP a iompraítear taobh istigh de shocrú an tolláin.
Tá tábhacht leis sin agus tú ag léamh loganna, mar is é an geata a tháirgeann an earráid fhíordheimhniúcháin ghinearálta a fheiceann an t-úsáideoir tar éis dó a bheith ag caint le rud éigin eile cheana féin. Mura sroicheann an cliant an geata riamh, ní bhíonn aon iarratas RADIUS ann le dífhabhrú, agus téann uair an chloig a chaitear ar fhreastalaí RADIUS amú. Deimhnigh gur tháinig an tollán aníos ar chor ar bith sula ndéanann tú teagmháil leis an gcúl.
Is é an geata an cliant RADIUS
Nuair a shroicheann socrú an tolláin an pointe a gcaithfear dintiúir a sheiceáil, éiríonn an geata ina fhreastalaí rochtana líonra. Tógann sé Access-Request: User-Name, focal faire nó pálasta EAP, NAS-IP-Address nó NAS-Identifier, agus Message-Authenticator nuair a éilíonn an modh ceann. Téann an t-iarratas chuig UDP 1812 de réir réamhshocraithe, agus an chuntasaíocht chuig 1813. Úsáideann suiteálacha níos sine 1645 agus 1646 fós, mar sin míníonn riail balla dóiteáin a scríobhadh do phéire amháin a lán teipeanna ciúine.
Roinneann an dá thaobh rún, agus ní dintiúr úsáideora é. Síníonn sé an malartú, agus fíoraítear gach freagra ina choinne. Cumraigh an rún go difriúil ar an dá thaobh agus ní fhreagraíonn an freastalaí le drochrún — scaoileann sé an t-iarratas nó teipeann ar an bhfíorú ar an bhfreagra, mar sin tuairiscíonn an geata amaicsean. Breathnaíonn rún mícheart agus freastalaí marbh mar an gcéanna ón ngeata, agus sin an fáth a dtástáilim an léim le huirlis cliaint sula gcuirim an milleán ar an eolaire.
Tá an prótacal beag agus sean — sainmhíníonn RFC 2865 an malartú fíordheimhniúcháin — ach is iad na tréithe a iompraíonn sé an bunús ar a dtógtar an chuid is mó de bheartas VPN.
# ask the RADIUS server directly, from the gateway host
radtest alice 'test-password' 127.0.0.1 0 testing123
# watch the exchange the gateway actually sends
tcpdump -ni any -c 20 'udp port 1812'B'fhéidir nach bhfuil sa fhreastalaí RADIUS ach aghaidh an tsoláthraí aitheantais
Labhraíonn daoine faoi RADIUS agus faoin soláthraí aitheantais amhail is gurb ionann iad agus an bosca céanna. Go minic ní hea. Faigheann an freastalaí RADIUS an Access-Request agus ansin fiafraíonn sé de rud éigin eile — Active Directory trí LDAP nó Kerberos, comhad úsáideora áitiúil nó seirbhís sheachtrach — sula bhfreagraíonn sé. Seasann FreeRADIUS leis an modúl LDAP nó krb5, Windows NPS agus Cisco ISE ar fad san ionad seo.
Cinneann an t-idirdhealú cá bhféachfaidh tú. Is freagra ón soláthraí aitheantais é focal faire a diúltaíodh a sheol RADIUS ar aghaidh. Is é an t-amacsean de ghnáth an chuid RADIUS-go-heolaire: cuntas ceangail as feidhm, eolaire nach féidir a bhaint amach, nó iarratas a sheoladh chuig an gcúl mícheart. Má tá iarmhír fearainn ar an ainm úsáideora, féadfaidh an freastalaí ródú uirthi, agus féadann an cuntas céanna a sheoltar mar CORP\alice agus [email protected] teacht i láithreacha éagsúla. Ar Windows NPS, taifeadann an log Security 6272 le haghaidh deonaíthe agus 6273 le haghaidh diúltaithe, rud a insíonn duit ar tháinig an cinneadh ó NPS ar chor ar bith.
Léigh an teip ag an léim ar tháirg sí
Clúdaíonn aon teachtaireacht nach féidir ceangal ceithre theip éagsúla. Sula n-athraíonn tú rud ar bith, meaitsigh an tsíomptóm leis an léim ar tháirg sí.
| What you see | Where it comes from | First check |
|---|---|---|
| Gateway timeout, no reply | Shared secret mismatch, UDP 1812 blocked, unknown NAS, wrong server address | tcpdump at the gateway; radtest from the gateway host |
| Immediate reject | Credentials, account state, domain suffix, RADIUS policy | NPS 6273 or the FreeRADIUS auth log; test the account directly |
| Repeated challenge or MFA loop | Access-Challenge state not returned, or a token that expired mid-flow | Client prompt timing and the State attribute in debug output |
| Accept, then no access | Authorization attributes unmapped, wrong pool, route or ACL policy | Gateway policy and the attributes in the Access-Accept |
Is é an ró deireanach an ceann a sheolann daoine chuig an bhfoireann mhícheart. Ciallaíonn Access-Accept gur glacadh leis na dintiúir; ní chiallaíonn sé gur chuir an geata an t-úsáideoir sa linn cheart nó gur bhrúigh sé bealaí. Ní bhíonn tábhacht ag tréithe grúpa ach amháin má léann beartas an gheata iad. Chonaic mé logáil isteach cheart ag tuirlingt i linn aíonna mar go raibh mapáil na ngrúpaí cumraithe ar thaobh RADIUS do thréith dhifriúil ón gceann a scrúdaíonn an geata.
Lean aon logáil amháin ó thús go deireadh
Roghnaigh aon chuntas tástála amháin agus aon gheata amháin, ansin féach ar an iarracht chéanna ag na ceithre phointe. Cuir tús le rith dífhabhtaithe ar thaobh RADIUS — priontálann freeradius -X an t-iarratas agus gach modúl a mbaineann sé leis — lean log fíordheimhniúcháin an gheata, agus rith tcpdump don mhalartú UDP. Ceangail uair amháin agus léigh na ceithre rian in ord.
Is é an rud is mian leat a fheiceáil ná comhaontú: d'fhiafraigh an geata faoin úsáideoir a raibh tú ag súil leis, roghnaigh an freastalaí RADIUS an cúl a raibh tú ag súil leis, d'fhill an cúl sin cinneadh, agus meaitseálann na tréithe sa fhreagra an beartas a chuireann an geata i bhfeidhm. Is é an chéad áit nach n-aontaíonn na rianta do líne locht. Mura n-iompraíonn an freagra aon tréith ghrúpa, tá an fhadhb ar thaobh RADIUS, ní sa phróifíl VPN; má tá an tréith ann agus an geata á neamhaird, is é beartas an gheata an fhadhb.
Nóta slándála amháin agus tú ann. Cosnaíonn an rún roinnte an malartú, ach ní chriptíonn sé an chuid is mó de na tréithe. Má tá an geata agus an freastalaí RADIUS ar dheighleoga éagsúla, cuir an léim sin ar RADIUS thar TLS nó ar chosán príobháideach. Ní deir tollán úsáideora criptithe aon rud faoi nasc an chúl.
Sula ndúnfaidh tú an ticéad, deimhnigh ceithre rud. Is féidir leis an ngeata freastalaí RADIUS a shroicheadh ar an bport a bhfuil sé cumraithe air i ndáiríre. Meaitseálann an rún roinnte ar an dá thaobh. Réitíonn an freastalaí RADIUS an fhoirm bheacht d'ainm úsáideora a sheolann an geata. Iompraíonn an glacadh na tréithe a theastaíonn ó bheartas an gheata. Nuair a sheasann na ceithre rud, is fadhb bheartais gheata é logáil isteach a theipeann fós, ní fadhb fhíordheimhniúcháin.