Yadda shiga VPN ke isa RADIUS da mai ba da ainihin ku

Makon da ya gabata wani mai amfani ya iya shiga VPN kuma duk da haka ya sauka a cibiyar sadarwa inda babu abin da ake warwarewa. Abokin ciniki ya ce an haɗa, log ɗin ƙofa ya ce Access-Accept, kuma ƙungiyar ainihi ta ce asusun yana da kyau. Shiga ya yi aiki; izini da ke bayansa bai yi ba. Lokacin da shiga VPN ya kasa, ina bin hanyar da buƙatar ke bi da gaske — abokin ciniki, ƙofa, uwar garken RADIUS, mai ba da ainihi — kuma ina tsayawa a matakin farko da amsarsa ba ta dace da na gaba ba.

Abokin ciniki ba ya taɓa magana da RADIUS

Ko menene manhajar da ke kan kwamfutar tafi-da-gidanka ta nuna, matakinta na farko shine ka'idar VPN: IKEv2, OpenVPN, WireGuard ko abokin ciniki na tushen TLS. RADIUS ba ya bayyana a wannan musayar. Abokin ciniki yana tabbatar da kansa ga ƙofa da takardar shaida, sunan mai amfani da kalmar sirri, ko hanyar EAP da ake ɗauka cikin saitin rami.

Wannan yana da mahimmanci lokacin karanta log ɗin, domin kuskuren tabbatarwa na gama gari da mai amfani ke gani ƙofa ce ke samar da shi bayan ta riga ta yi magana da wani abu. Idan abokin ciniki bai taɓa isa ƙofar ba, babu buƙatar RADIUS da za a gyara, kuma awa ɗaya da aka kashe a uwar garken RADIUS ya ɓace. Tabbatar ramin ya tashi kwata-kwata kafin ka taɓa bayan fage.

Ƙofa ita ce abokin ciniki na RADIUS

Da zarar saitin rami ya kai matakin da dole a duba takardun shiga, ƙofa ta zama uwar garken samun damar cibiyar sadarwa. Tana gina Access-Request: User-Name, kalmar sirri ko kayan EAP, NAS-IP-Address ko NAS-Identifier, da Message-Authenticator lokacin da hanyar ta buƙaci ɗaya. Buƙatar tana zuwa UDP 1812 bisa tsoho, kuma lissafin kuɗi zuwa 1813. Tsofaffin turawa har yanzu suna amfani da 1645 da 1646, don haka dokar wutar bango da aka rubuta don jodi ɗaya tana bayanin gazawa da yawa na shiru.

Bangarorin biyu suna raba wani sirri, kuma ba takardar shaidar mai amfani ba ce. Yana sa hannu kan musayar, kuma ana tabbatar da kowace amsa da shi. Saita sirrin daban a bangarorin biyu kuma uwar garken ba ta amsa da mummunan sirri ba — tana watsar da buƙatar ko amsar ta kasa tabbatarwa, don haka ƙofa ta ba da rahoton ƙarewar lokaci. Sirri mara kyau da matacciyar uwar garke suna kama da juna daga ƙofa, shi ya sa nake gwada matakin da kayan aikin abokin ciniki kafin in zargi jagorar.

Ka'idar ƙarama ce kuma tsohuwa — RFC 2865 yana bayyana musayar tabbatarwa — amma halayen da take ɗauka sune tushen da aka gina yawancin manufofin VPN a kai.

# ask the RADIUS server directly, from the gateway host
radtest alice 'test-password' 127.0.0.1 0 testing123

# watch the exchange the gateway actually sends
tcpdump -ni any -c 20 'udp port 1812'

Uwar garken RADIUS na iya zama gaban mai ba da ainihi kawai

Mutane suna magana game da RADIUS da mai ba da ainihi kamar su akwati ɗaya ne. Sau da yawa ba haka ba ne. Uwar garken RADIUS tana karɓar Access-Request sannan ta tambayi wani abu — Active Directory ta LDAP ko Kerberos, fayil ɗin mai amfani na gida, ko sabis na waje — kafin ta amsa. FreeRADIUS da modul ɗin LDAP ko krb5, Windows NPS da Cisco ISE duk suna tsaye a wannan matsayi.

Bambancin yana ƙayyade inda za ka duba. Kalmar sirri da aka ƙi amsar mai ba da ainihi ce da RADIUS ke wucewa. Ƙarewar lokaci yawanci ɓangaren RADIUS-zuwa-jagora ne: asusun ɗaure da ya ƙare, jagora da ba za a iya isa ba, ko buƙatar da aka tura zuwa bayan fage mara kyau. Idan sunan mai amfani yana ɗauke da ƙarin yanki, uwar garken na iya yin hanya da shi, kuma asusun ɗaya da aka tura a matsayin CORP\alice da [email protected] na iya sauka a wurare daban-daban. A Windows NPS, log ɗin Security yana rubuta 6272 don bayarwa da 6273 don ƙi, wanda ke gaya maka ko shawarar ta fito daga NPS kwata-kwata.

Karanta gazawar a matakin da ya haifar da ita

Saƙon ba za a iya haɗawa ɗaya yana rufe gazawa huɗu daban-daban. Kafin ka canza wani abu, daidaita alamar da matakin da ya haifar da ita.

Layin ƙarshe shine wanda ke tura mutane zuwa ƙungiyar da ba daidai ba. Access-Accept yana nufin an karɓi takardun shiga; ba ya nufin ƙofa ta sanya mai amfani a cikin wurin da ya dace ko ta tura hanyoyi. Halayen rukuni suna da mahimmanci ne kawai idan manufar ƙofa tana karanta su. Na ga ingantaccen shiga ya sauka a wurin baƙi saboda an saita taswirar rukuni a gefen RADIUS don wani hali dabam da wanda ƙofa ke dubawa.

Bi shiga ɗaya daga farko zuwa ƙarshe

Zaɓi asusun gwaji ɗaya da ƙofa ɗaya, sannan ka kalli wannan yunƙurin a dukkan wurare huɗu. Fara gudanar da gyara a gefen RADIUS — freeradius -X yana buga buƙatar da kowane modul da ta taɓa — bi log ɗin tabbatarwa na ƙofa, kuma gudanar da tcpdump don musayar UDP. Haɗa sau ɗaya kuma karanta alamun huɗu cikin tsari.

Abin da kake son gani shine yarjejeniya: ƙofa ta tambaya game da mai amfani da kake tsammani, uwar garken RADIUS ta zaɓi bayan fagen da kake tsammani, wannan bayan fagen ya mayar da shawara, kuma halayen da ke cikin amsar sun dace da manufar da ƙofa ke amfani da ita. Wurin farko da alamun ba su dace ba shine layin laifinka. Idan amsar ba ta ɗauke da halin rukuni ba, matsalar tana gefen RADIUS, ba a cikin bayanin VPN ba; idan halin yana nan kuma ƙofa ta yi watsi da shi, manufar ƙofa ce matsalar.

Bayanin tsaro ɗaya yayin da kake can. Sirrin da aka raba yana kare musayar, amma ba ya ɓoye yawancin halayen. Idan ƙofa da uwar garken RADIUS suna cikin sassa daban-daban, sanya wannan matakin a kan RADIUS ta TLS ko hanyar sirri. Ramin mai amfani da aka ɓoye ba ya faɗin komai game da haɗin bayan fage.

Kafin ka rufe tikitin, tabbatar da abubuwa huɗu. Ƙofa na iya isa uwar garken RADIUS a tashar da aka saita ta da gaske. Sirrin da aka raba ya dace a bangarorin biyu. Uwar garken RADIUS tana warware ainihin siffar sunan mai amfani da ƙofa ke turawa. Karɓar yana ɗauke da halayen da manufar ƙofa ke buƙata. Lokacin da duka huɗu suka tabbata, shiga da har yanzu ya kasa matsalar manufar ƙofa ce, ba ta tabbatarwa ba.