Stopann logáil isteach VPN tar éis Access-Challenge ó RADIUS

Tá do phasfhocal ceart, teipeann ar an logáil isteach VPN mar sin féin, agus b’fhéidir go ndearna an freastalaí RADIUS go beacht an rud a dúradh leis. Is dócha gur ghlac an geata Access-Challenge, nár thaispeáin aon rud úsáideach, agus ansin gur éag sé nó gur chaith sé leis an bhfreagra sin mar dhiúltú. Ó thaobh an chliaint de tá cuma dhroch-shonraí nó thollán briste air. Is iondúil go mbíonn an chúis i lár comhrá nár ghabh aon duine.

Aon logáil amháin, dhá mhalartú RADIUS

Nuair a theastaíonn dara fachtóir ón inneall cúil, ní fhreagraíonn sé an chéad iarratas le glacadh ná le diúltú. Freagraíonn sé le cód 11 agus fanann sé le chéad fhreagra eile an úsáideora, a chaithfidh an geata a sheoladh ar ais in iarratas leantach. Baineann an t-iarratas leantach sin leis an gcomhrá fíordheimhnithe céanna, ní le hiarracht logála isteach nua.

I socrú atá ag obair feiceann an t-úsáideoir dara leid: an pasfhocal ar dtús, ansin cód aon-úsáide, nó aon leid chomhcheangailte amháin má tá ceann curtha síos i scríbhinn ag an oibreoir. I socrú briste ní thagann an dara leid riamh agus teipeann ar an logáil isteach go simplí.

Sin an tsíomptóm le leanúint, agus is furasta é a dheimhniú ó thaobh an chliaint amháin: má iarrann cliant VPN díreach aon rún amháin agus má dhiúltaíonn sé ansin do phasfhocal a bhfuil a fhios agat atá bailí, is dócha gur tháinig deireadh leis an malartú ag an dúshlán.

Cad a iompraíonn an dúshlán i ndáiríre

Déanann sonraíocht RADIUS cur síos ar chód 11 i roinn 4.4 agus ceadaíonn sé dhá thréith atá tábhachtach anseo. Coimeádann Reply-Message téacs atá ceaptha don úsáideoir, agus coimeádann State luach teimhneach ar mhaith leis an bhfreastalaí é a fháil ar ais. Ní ceart don NAS State a léirmhíniú, ach é a thabhairt ar ais gan athrú.

Úsáideann an t-iarratas leantach Identifier nua agus Request Authenticator nua, agus caithfidh sé an luach State céanna móide freagra an úsáideora a iompar. Meaitseálann an freastalaí é leis an dúshlán atá ar feitheamh tríd an State sin, agus is é sin an fáth nach féidir le geata a athghineann nó a fhágann an tréith ar lár an searmanas a chríochnú. Caithfidh an response authenticator ar gach freagra bailíochtú freisin, nó ba cheart don NAS an paicéad a chaitheamh amach.

Cuireann roinn 4.4 leis an sonra a mhíníonn an chuid is mó de na teipeanna ciúine: caitheann NAS nach féidir leis tacú le dúshláin le Access-Challenge mar dhiúltú. Má tá seirbhís VPN do gheata níos sine ná an tacaíocht sin nó má fhágann sé ar lár í, iompaíonn iarratas an innill chúil ar dhara fachtóir ina «fíordheimhniú teipthe» láithreach gan aon leid ar bith.

Cá ndeachaigh an t-iarratas slabhraithe amú

Is é an chéad amhrastach cosán na leide, ní an sonra. Ní dhéanann tairseach a thaispeánann réimse OTP do logálacha gréasáin é sin go huathoibríoch don tseirbhís VPN, agus ní chuirtear ach le cliaint a fhógraíonn an cumas an dúshlán ar aghaidh ó gheatóirí áirithe. Tástáil an cuntas céanna ag an dá phointe iontrála; má oibríonn an tairseach agus mura n-oibríonn an VPN, tá tú ag amharc ar an aistriú, ní ar an chomhartha.

Is é formáid an ionchuir an dara hamhrastach. Teipeann ar an bpasfhocal agus an cód a chur le chéile gan an deighilteoir atá curtha síos ag an soláthraí, nó ligean do theastas sábháilte sean-chód a athsheinm, ar bhealach atá comhionann le droch-phasfhocal. Úsáid an leid ar leithligh nó an fhormáid chomhcheangailte atá curtha síos ag an oibreoir, agus ná huiríosaigh deighilteoir choíche.

Tá lochtanna a bhaineann le heisiúint ann, ach ní diagnóis don imscaradh inniu é liosta d’eisiúintí ceartaithe ó bhlianta ó shin. Léigh nótaí eisiúna na mbogearraí a ritheann tú i ndáiríre, agus coinnigh céim an mhalartaithe a breathnaíodh mar do chruthúnas.

Riaraigh aon iarracht amháin ó thús deireadh

Atáirg í uair amháin, le dífhabhtú taobh an fhreastalaí ar siúl, agus coinnigh gach seisiún eile amach as fuinneog an ghabhála:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

San aschur bíonn tú ag lorg chruth an chomhrá seachas líne amháin. Chéad Access-Request le Identifier 3, Access-Challenge ag iompar State, ansin dara Access-Request le Identifier 4 a athluaíonn an State sin agus a chuimsíonn freagra an úsáideora. Má tá an dara hiarratas ar iarraidh, níor lean an geata riamh. Má thagann sé gan State, ní féidir leis an bhfreastalaí é a mheaitseáil leis an dúshlán atá ar feitheamh agus déanfaidh sé diúltú dó de ghnáth.

Cuir ceilt ar theastais, ar chomharthaí agus ar shonraí aitheantais gan ghá nuair a roinneann tú an riail, agus déan imeachtaí ón aon iarracht amháin a chomhghaolú in ionad iarrachtaí athdhéanta ó roinnt cluaisíní brabhsálaí a mheascadh. Is cairde duit na stampaí ama anseo; bíonn cuma diúltaithe ar dhiúshlán a thagann tar éis don chliant géilleadh don úsáideoir, agus cuma freagra mall air sa log.

Is é an staid chríochnaithe atá uait comhrá críochnaithe, údaraithe agus an rochtain bheartaithe ar an tseirbhís ina dhiaidh. Ní chruthaíonn freagra a thagann ón bhfreastalaí RADIUS ach mórán níos lú ná sin.