RADIUS Access-Challenge પછી VPN લોગિન અટકી જાય છે

તમારો પાસવર્ડ સાચો છે, VPN લોગિન તેમ છતાં નિષ્ફળ જાય છે, અને RADIUS સર્વરે કદાચ તેને કહેવામાં આવ્યું હતું તે બરાબર કર્યું હોઈ શકે. ગેટવેએ સંભવતઃ Access-Challenge મેળવ્યું, ઉપયોગી કંઈ દેખાડ્યું નહીં અને પછી સમય સમાપ્ત થયો અથવા તે જવાબને અસ્વીકાર ગણ્યો. ક્લાયન્ટની બાજુથી તે ખોટા ઓળખપત્રો અથવા તૂટેલા ટનલ જેવું લાગે છે. કારણ સામાન્ય રીતે એવી વાતચીતની વચ્ચે હોય છે જે કોઈએ કેદ કરી ન હતી.

એક લોગિન, બે RADIUS આદાનપ્રદાન

જ્યારે બેકએન્ડને બીજું પરિબળ જોઈએ છે, ત્યારે તે પ્રથમ વિનંતીનો જવાબ સ્વીકાર અથવા અસ્વીકાર આપીને આપતું નથી. તે કોડ 11 સાથે જવાબ આપે છે અને વપરાશકર્તાના આગળના જવાબની રાહ જુએ છે, જે ગેટવેએ અનુગામી વિનંતીમાં પાછો મોકલવો પડે. તે અનુગામી વિનંતી એ જ પ્રમાણીકરણ વાતચીતની છે, નવા લોગિન પ્રયાસની નહીં.

કાર્યરત ગોઠવણીમાં વપરાશકર્તાને બીજી સૂચના દેખાય છે: પહેલા પાસવર્ડ, પછી એક-વખતનો કોડ, અથવા ઓપરેટરે દસ્તાવેજીકૃત કર્યું હોય તો એક જ સંયુક્ત સૂચના. તૂટેલી ગોઠવણીમાં બીજી સૂચના ક્યારેય આવતી નથી અને લોગિન ફક્ત નિષ્ફળ જાય છે.

એ જ લક્ષણ છે જેનો પીછો કરવો છે, અને ફક્ત ક્લાયન્ટની બાજુથી તેની પુષ્ટિ કરવી સહેલી છે: જો VPN ક્લાયન્ટ બરાબર એક જ રહસ્ય માંગે અને પછી તમે જાણો છો કે માન્ય છે તેવો પાસવર્ડ નકારી કાઢે, તો આદાનપ્રદાન કદાચ પડકાર પર જ પૂરું થયું છે.

પડકાર ખરેખર શું વહન કરે છે

RADIUS સ્પષ્ટીકરણ વિભાગ 4.4 માં કોડ 11 વર્ણવે છે અને અહીં મહત્વના બે લક્ષણોને મંજૂરી આપે છે. Reply-Message વપરાશકર્તા માટેનું લખાણ રાખે છે, અને State એક અસ્પષ્ટ મૂલ્ય રાખે છે જે સર્વર પાછું મેળવવા માંગે છે. NAS એ State નું અર્થઘટન ન કરવું જોઈએ, ફક્ત તેને અપરિવર્તિત પાછું આપવું જોઈએ.

અનુગામી વિનંતી નવો Identifier અને નવો Request Authenticator વાપરે છે, અને તેણે એ જ State મૂલ્ય ઉપરાંત વપરાશકર્તાનો જવાબ લઈ જવો પડે. સર્વર તેને તે State દ્વારા બાકી રહેલા પડકાર સાથે મેળવે છે, તેથી જ જે ગેટવે લક્ષણને ફરી બનાવે છે અથવા કાઢી નાખે છે તે આ વિધિ પૂરી કરી શકતું નથી. દરેક જવાબ પરનો response authenticator પણ માન્ય થવો જોઈએ, નહીં તો NAS એ પેકેટ કાઢી નાખવું જોઈએ.

વિભાગ 4.4 એ વિગત ઉમેરે છે જે મોટાભાગની મૌન નિષ્ફળતાઓ સમજાવે છે: જે NAS પડકારોને ટેકો આપી શકતું નથી તે Access-Challenge ને અસ્વીકાર ગણે છે. જો તમારા ગેટવેની VPN સેવા તે ટેકા પહેલાંની હોય અથવા તેને છોડી દે, તો બેકએન્ડની બીજા પરિબળની વિનંતી કોઈપણ સૂચના વિના તરત જ «પ્રમાણીકરણ નિષ્ફળ» બની જાય છે.

શૃંખલિત વિનંતી ક્યાં ખોવાય છે

પ્રથમ શંકાસ્પદ વસ્તુ ઓળખપત્ર નહીં, સૂચનાનો માર્ગ છે. વેબ લોગિન માટે OTP ક્ષેત્ર દેખાડતું પોર્ટલ VPN સેવા માટે તે કામ આપમેળે કરતું નથી, અને કેટલાક ગેટવે ફક્ત એવા ક્લાયન્ટને પડકાર પાસ કરે છે જે ક્ષમતા જાહેર કરે છે. એ જ ખાતું બંને પ્રવેશબિંદુઓ પર ચકાસો; જો પોર્ટલ કામ કરે અને VPN નહીં, તો તમે હસ્તાંતરણ તરફ જોઈ રહ્યા છો, ટોકન તરફ નહીં.

ઇનપુટ ફોર્મેટ બીજું શંકાસ્પદ છે. વેન્ડરના દસ્તાવેજીકૃત વિભાજક વિના પાસવર્ડ અને કોડ જોડવો, અથવા સંગ્રહિત ઓળખપત્રને જૂનો કોડ ફરી ચલાવવા દેવો, એ રીતે નિષ્ફળ જાય છે જે ખોટા પાસવર્ડ જેવું જ લાગે. ઓપરેટરના દસ્તાવેજીકૃત અલગ સૂચના અથવા સંયુક્ત ફોર્મેટ વાપરો, અને ક્યારેય જાતે વિભાજક ન બનાવો.

આવૃત્તિ-વિશિષ્ટ ખામીઓ અસ્તિત્વમાં છે, પણ વર્ષો પહેલાંના સુધારેલા આવૃત્તિઓની યાદી આજના ડિપ્લોયમેન્ટ માટે નિદાન નથી. તમે ખરેખર ચલાવો છો તે સોફ્ટવેરની પ્રકાશન નોંધો વાંચો, અને અવલોકિત આદાનપ્રદાન તબક્કાને તમારા પુરાવા તરીકે રાખો.

એક પ્રયાસને શરૂઆતથી અંત સુધી ટ્રેસ કરો

સર્વર-બાજુ ડિબગિંગ ચાલુ રાખીને એક વાર પુનઃઉત્પાદન કરો, અને અન્ય દરેક સત્રને કેપ્ચર વિન્ડોની બહાર રાખો:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

આઉટપુટમાં એક લીટીને બદલે વાતચીતનો આકાર શોધો. Identifier 3 સાથેની પ્રથમ Access-Request, State વહન કરતી Access-Challenge, પછી Identifier 4 સાથેની બીજી Access-Request જે તે State ને પુનરાવર્તિત કરે છે અને વપરાશકર્તાનો જવાબ સમાવે છે. જો બીજી વિનંતી ખૂટે છે, તો ગેટવેએ ક્યારેય અનુસરણ કર્યું નથી. જો તે State વિના આવે, તો સર્વર તેને બાકી રહેલા પડકાર સાથે મેળવી શકતું નથી અને સામાન્ય રીતે નકારી કાઢે છે.

ટ્રેસ શેર કરતી વખતે ઓળખપત્રો, ટોકન અને બિનજરૂરી ઓળખ ડેટા છુપાવો, અને ઘણી બ્રાઉઝર ટૅબની પુનઃશોધ મિશ્ર કરવાને બદલે એક જ પ્રયાસની ઘટનાઓને સહસંબંધિત કરો. સમયછાપ અહીં તમારા મિત્ર છે; ક્લાયન્ટે હાર માન્યા પછી આવતો પડકાર વપરાશકર્તાને અસ્વીકાર જેવો અને લોગમાં ધીમો જવાબ જેવો લાગે છે.

તમે ઇચ્છો છો તે અંતિમ સ્થિતિ એ પૂર્ણ, અધિકૃત વાતચીત છે અને તેના પછી ઇચ્છિત સેવા પ્રવેશ છે. RADIUS સર્વરથી આવતો જવાબ તેના કરતાં ઘણું ઓછું સાબિત કરે છે.