VPN-hitelesítési realm: melyik fióknév-tér nyer?

Minden VPN-bejelentkezés valamelyik fióknév-térbe érkezik, és a realm az a választó, amely eldönti, melyikbe. Semmit sem mond az országról, a kiszolgáló helyéről vagy a bizalmi szintről. Két azonos felhasználónév élhet különböző realmekben, ezért néha egy helyes jelszó a rossz fiókot hitelesíti. Ez a forgatókönyv először az identitás formáját rögzíti, majd végigköveti a kérést addig a rendszerig, amely valóban válaszolt.

Mit választ ki a realm

Az átjáró megkapja a felhasználónevet, és el kell döntenie, hol ellenőrizze. A realm a név azon része, vagy a mellette álló attribútum, amely kiválasztja az adatbázist: egy könyvtárat, egy RADIUS-készletet vagy egy helyi fiókfájlt. A Microsoft NPS-e realmnévnek nevezi, és ezzel irányítja a kapcsolódási kéréseket, míg az EAP hálózati hozzáférési azonosító ugyanezt az ötletet hordozza az at jel utáni utótagként az RFC 7542-ben. Mindkettő választó, és egyik sem dönti el, hogy a hitelesítő adat jó-e.

Ez a szétválasztás két nagyon különböző hibát eredményez. A helyesen irányító realm rossz jelszóval egy elutasítást ad, míg a rossz adatbázisra irányító realm elutasíthat egy helyes jelszót, vagy elfogadhat valaki másét. Egyik hiba sem említi a realmot, ezért az első diagnózis mindig ugyanaz: megtudni, melyik rendszer válaszolt.

A realm szintaxisa a telepítéstől függ. Egyes szolgáltatások minősítés nélküli nevet és attribútumot kérnek, mások a user@domain alakot, és néhányan a visszaperjeles formát várják, amelyet a legtöbb útmutató nem említ.

A háttérrendszer által elvárt formát használja

Kérdezze meg az üzemeltetőtől, melyik formát írja be, mielőtt egy útmutatóból származó utótagokat próbál. A tartománnyal minősített név, amely egyszerű nevet váró háttérrendszerhez érkezik, általában a keresésnél bukik el, nem a jelszó ellenőrzésénél. Ugyanaz a rövid név két könyvtárban az az eset, amikor a hiányzó realm okozza a legnagyobb kárt.

Ne tekintse az adminisztratív fiókot bizonyítéknak. A webes konzol, ahol a szolgáltatást kezeli, helyi fájlhoz hitelesíthet, miközben az alagút teljesen más könyvtárat ellenőriz. Olyan hitelesítő adatokkal teszteljen, amelyeket valódi felhasználó használna, olyan felületen, amelyet valódi felhasználó használna. A sikeres konzolbejelentkezés semmit sem mond arról a realmról, amelyet az átjáró a VPN-hitelesítésre alkalmaz.

A böngészők és levelezőkliensek néha elmentik a korábbi identitást, és csendben újraküldik. Ha a jelentett felhasználónév eltér a beírtól, először azt a gyorsítótárat kell megvizsgálni.

Kövesse a kérést a proxyn keresztül

FreeRADIUS előtéren a realmeket a proxy konfigurációja deklarálja, és a deklarált utótag dönti el, melyik otthoni kiszolgáló kapja a kérést. Olvassa el azt a fájlt, mielőtt bármit módosít, mert az egyetlen realmhez sem illő kérést alapértelmezés szerint helyben kezelik.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

A grep megmutatja, mely utótagok léteznek, és melyik készletet célozza mindegyik. A radtest hívás realmot tartalmazó nevet és szándékosan rossz jelszót küld, így az elutasítás bizonyítja, hogy mind az útvonalválasztás, mind a hitelesítő adat ellenőrzése lefutott. A kísérlet körüli naplósorok megmutatják, hogy a nevet eltávolították-e a proxyzás előtt, és melyik otthoni kiszolgáló vette át. Ha a napló egyáltalán nem mutat realomegyezést, a kérés soha nem hagyta el a helyi kiszolgálót, és a probléma az utótag, nem a jelszó.

Egyszerre csak egy dolgot változtasson, és ismételje meg a kísérletet, mert a napló csak akkor választja el az útvonalválasztást a hitelesítő hibaétól, ha a bemenet futásonként eltér. Tartsa a közös titkot a héj előzményein kívül, ahol az eszköz támogatja a fájlból vagy kérésből való beolvasást.

Rögzítse a kísérletet kiszivárogtatás nélkül

Írja le a hibát olyan formában, amelyre az adminisztrátor cselekedhet: a felület, az identitás formája, volt-e realm, és a pontos, nem titkos hiba. Tartsa az élő felhasználónevet a nyilvános jelentéseken kívül, a realmot pedig benne. Minden identitás ugyanarra a helyőrzőre való cenzúrázása éppen azt az eltérést rejti el, amelyet keres. Az időbélyeg is számít, mert az átjáró, a proxy és a könyvtár külön naplókat vezet.

Ezután dokumentálja a felhasználóknak a nyertes formát, mert a következő, aki elgépeli, ugyanezt a jegyet nyitja. A jelszó-visszaállítás nem javítja meg azt a kérést, amely folyton a rossz névtérbe érkezik. A realm útválasztási döntés, az útválasztási döntéseket pedig a helyes elnevezéssel javítjuk.