VPN նույնականացման տիրույթ. ո՞ր հաշվային անվանատարածքն է հաղթում

Յուրաքանչյուր VPN մուտք հայտնվում է հաշվային ինչ-որ անվանատարածքում, և տիրույթը (realm) այն ընտրիչն է, որը որոշում է, թե որում։ Այն ոչինչ չի ասում երկրի, սերվերի գտնվելու վայրի կամ վստահության մակարդակի մասին։ Երկու նույնական օգտանուններ կարող են ապրել տարբեր տիրույթներում, դրա համար ճիշտ գաղտնաբառը երբեմն վավերացնում է սխալ հաշիվ։ Այս ուղեցույցը նախ ուղղում է ինքնության ձևը, ապա հետևում է հարցումին մինչև այն համակարգը, որը իրականում պատասխանել է։

Ինչ է ընտրում տիրույթը

Դարպասը ստանում է օգտանուն և պետք է որոշի, թե որտեղ ստուգի այն։ Տիրույթը այդ անվան այն մասն է, կամ նրա կողքի ատրիբուտը, որը ընտրում է տվյալների բազան՝ գրացուցակ, RADIUS լողավազան, տեղական հաշիվների ֆայլ։ Microsoft-ի NPS-ը սա անվանում է տիրույթի անուն և դրանով ուղղորդում է միացման հարցումները, մինչդեռ EAP ցանցային մուտքի նույնացուցիչը նույն գաղափարն է կրում որպես վերջածանց at նշանից հետո RFC 7542-ում։ Երկուսն էլ ընտրիչներ են, և ոչ մեկը չի որոշում՝ հավատարմագիրը լա՞վ է, թե ոչ։

Այդ բաժանումը ստեղծում է երկու շատ տարբեր ձախողում։ Ճիշտ ուղղորդող տիրույթը սխալ գաղտնաբառով տալիս է մեկ մերժում, մինչդեռ սխալ տվյալների բազա ուղղորդող տիրույթը կարող է մերժել ճիշտ գաղտնաբառը կամ ընդունել ուրիշի գաղտնաբառը։ Ոչ մի սխալ չի հիշատակում տիրույթը, դրա համար առաջին ախտորոշումը միշտ նույնն է՝ պարզել, թե որ համակարգն է պատասխանել։

Տիրույթի շարահյուսությունը պատկանում է տեղակայմանը։ Որոշ ծառայություններ ուզում են առանց որակավորման անուն գումարած ատրիբուտ, ուրիշները՝ user@domain, և քչերը ակնկալում են հակադարձ շեղով ձև, որը ուղեցույցների մեծ մասը չի հիշատակում։

Օգտագործեք այն ձևը, որն ակնկալում է հետին մասը

Նախ հարցրեք օպերատորին, թե որ ձևը մուտքագրել, ապա փորձեք ձեռնարկի վերջածանցները։ Դոմենով որակավորված անունը, որը հասնում է պարզ անուն ակնկալող հետին մասին, սովորաբար ձախողում է որոնումը, ոչ թե գաղտնաբառի ստուգումը։ Նույն կարճ անունը երկու գրացուցակում այն դեպքն է, երբ բացակայող տիրույթը ամենամեծ վնասն է հասցնում։

Կառավարման հաշիվը մի ընդունեք որպես ապացույց։ Վեբ վահանակը, որտեղ կառավարում եք ծառայությունը, կարող է վավերացնել տեղական ֆայլի դեմ, մինչդեռ թունելը ստուգում է բոլորովին այլ գրացուցակ։ Փորձարկեք այն հավատարմագրերով, որոնք կօգտագործեր իրական օգտատերը, այն ինտերֆեյսով, որը կօգտագործեր իրական օգտատերը։ Հաջող վահանակի մուտքը ոչինչ չի ասում այն տիրույթի մասին, որը դարպասը կիրառում է VPN վավերացման համար։

Դիտարկիչներն ու փոստի հաճախորդները երբեմն պահում են նախորդ ինքնությունը և լուռ նորից ուղարկում այն։ Երբ հաղորդված օգտանունը տարբերվում է մուտքագրվածից, այդ պահոցն առաջին տեղն է, որ պետք է նայել։

Հետևեք հարցումին պրոքսիի միջով

FreeRADIUS-ի ճակատային մասում տիրույթները հայտարարվում են պրոքսիի կոնֆիգուրացիայում, և հայտարարված վերջածանցը որոշում է, թե որ տնային սերվերը կստանա հարցումը։ Կարդացեք այդ ֆայլը նախքան որևէ բան փոխելը, որովհետև ոչ մի տիրույթի չհամապատասխանող հարցումը լռելյայն մշակվում է տեղում։

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep-ը ցույց է տալիս, թե որ վերջածանցներն են գոյություն ունեն, և յուրաքանչյուրը որ լողավազանն է ուղղված։ radtest կանչը ուղարկում է տիրույթով անուն և դիտավորյալ սխալ գաղտնաբառ, այնպես որ մերժումը ապացուցում է, որ թե՛ ուղղորդումը, թե՛ հավատարմագրի ստուգումը կատարվել են։ Այդ փորձի շուրջ մատյանի տողերը ցույց են տալիս, թե արդյոք անունը հեռացվել է պրոքսիից առաջ և որ տնային սերվերն է վերցրել այն։ Եթե մատյանը բոլորովին տիրույթի համընկնում չի ցույց տալիս, հարցումը երբեք չի լքել տեղական սերվերը, և խնդիրը վերջածանցն է, ոչ թե գաղտնաբառը։

Փոխեք մեկ բան միաժամանակ և կրկնեք փորձը, որովհետև մատյանը ուղղորդումը հավատարմագրի ձախողումից բաժանում է միայն այն դեպքում, երբ մուտքը տարբերվում է գործարկումների միջև։ Պահեք ընդհանուր գաղտնիքը shell-ի պատմությունից դուրս այնտեղ, որտեղ գործիքը աջակցում է այն ֆայլից կամ հուշումից կարդալուն։

Գրանցեք փորձը առանց այն արտահոսելու

Գրեք ձախողումը այնպիսի ձևով, որի վրա ադմինիստրատորը կարող է գործել՝ ինտերֆեյսը, ինքնության ձևը, արդյոք տիրույթ կար, և ճշգրիտ ոչ գաղտնի սխալը։ Պահեք գործող օգտանունը հանրային հաշվետվություններից դուրս, իսկ տիրույթը՝ ներսում։ Ամեն ինքնություն նույն տեղապահին հասցնելը թաքցնում է հենց այն անհամապատասխանությունը, որը փնտրում եք։ Ժամանակի դրոշմանիշը նույնպես կարևոր է, որովհետև դարպասը, պրոքսին և գրացուցակը առանձին մատյաններ են պահում։

Ապա փաստաթղթավորեք հաղթող ձևը օգտատերերի համար, որովհետև հաջորդ մարդը, ով այն սխալ կմուտքագրի, նույն տոմսը կբացի։ Գաղտնաբառի վերականգնումը չի ուղղում հարցումը, որը շարունակում է հայտնվել սխալ անվանատարածքում։ Տիրույթը ուղղորդման որոշում է, իսկ ուղղորդման որոշումները ուղղվում են ճիշտ անվանակոչումով։