Realm Autentikasi VPN: Namespace Akun Mana yang Menang?

Setiap login VPN masuk ke suatu namespace akun, dan realm adalah pemilih yang menentukan yang mana. Ini tidak mengatakan apa pun tentang negara, lokasi server, atau tingkat kepercayaan. Dua nama pengguna identik dapat berada di realm berbeda, itulah sebabnya kata sandi yang benar kadang mengautentikasi akun yang salah. Runbook ini lebih dulu membetulkan bentuk identitas, lalu menelusuri permintaan sampai ke sistem yang benar-benar menjawab.

Apa yang Dipilih Realm

Gateway menerima nama pengguna dan harus memutuskan di mana memeriksanya. Realm adalah bagian dari nama itu, atau atribut di sampingnya, yang memilih basis data: direktori, kumpulan RADIUS, berkas akun lokal. NPS Microsoft menyebutnya nama realm dan merutekan permintaan koneksi dengannya, sementara pengenal akses jaringan EAP membawa gagasan yang sama sebagai akhiran setelah tanda at dalam RFC 7542. Keduanya adalah pemilih, dan tidak satu pun memutuskan apakah kredensial itu layak.

Pemisahan itu menghasilkan dua kegagalan yang sangat berbeda. Realm yang merutekan dengan benar dengan kata sandi salah memberi satu penolakan, sedangkan realm yang merutekan ke basis data salah dapat menolak kata sandi yang benar atau menerima milik orang lain. Tidak ada kesalahan yang menyebut realm, itulah sebabnya diagnosis pertama selalu sama: mencari tahu sistem mana yang menjawab.

Sintaks realm milik penerapan. Beberapa layanan menginginkan nama tanpa kualifikasi plus atribut, yang lain menginginkan user@domain, dan sedikit yang mengharapkan bentuk dengan garis miring terbalik yang tidak disebutkan sebagian besar panduan.

Gunakan Bentuk yang Diharapkan Backend

Tanyakan kepada operator bentuk mana yang harus diketik sebelum mencoba akhiran dari tutorial. Nama berkualifikasi domain yang mencapai backend yang mengharapkan nama biasa biasanya gagal pada pencarian, bukan pada pemeriksaan kata sandi. Nama pendek yang sama di dua direktori adalah kasus di mana realm yang hilang paling merusak.

Jangan anggap akun manajemen sebagai bukti. Konsol web tempat Anda mengelola layanan mungkin mengautentikasi terhadap berkas lokal, sementara terowongan memeriksa direktori yang sama sekali berbeda. Uji dengan kredensial yang akan digunakan pengguna nyata, pada antarmuka yang akan digunakan pengguna nyata. Login konsol yang berhasil tidak mengatakan apa pun tentang realm yang diterapkan gateway pada autentikasi VPN.

Peramban dan klien surel kadang menyimpan identitas sebelumnya dan mengirimnya ulang secara diam-diam. Ketika nama pengguna yang dilaporkan berbeda dari yang diketik, cache itu adalah tempat pertama yang harus dilihat.

Telusuri Permintaan Melalui Proxy

Di front end FreeRADIUS, realm dideklarasikan dalam konfigurasi proxy, dan akhiran yang dideklarasikan menentukan server rumah mana yang menerima permintaan. Baca berkas itu sebelum mengubah apa pun, karena permintaan yang tidak cocok dengan realm mana pun ditangani secara lokal secara default.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep menunjukkan akhiran mana yang ada dan kumpulan mana yang dituju masing-masing. Panggilan radtest mengirim nama dengan realm dan kata sandi yang sengaja salah, sehingga penolakan membuktikan rute dan pemeriksaan kredensial keduanya berjalan. Baris jurnal di sekitar percobaan itu menunjukkan apakah nama dihapus sebelum diproksikan dan server rumah mana yang mengambilnya. Jika log tidak menunjukkan kecocokan realm sama sekali, permintaan tidak pernah meninggalkan server lokal dan akhiran adalah masalahnya, bukan kata sandi.

Ubah satu hal pada satu waktu dan ulangi percobaan, karena log memisahkan perutean dari kegagalan kredensial hanya ketika input berbeda antarpelaksanaan. Jauhkan rahasia bersama dari riwayat shell di tempat alat mendukung pembacaan dari berkas atau prompt.

Catat Percobaan Tanpa Membocorkannya

Tulis kegagalan dalam bentuk yang dapat ditindaklanjuti administrator: antarmuka, bentuk identitas, apakah ada realm, dan kesalahan persis yang bukan rahasia. Jauhkan nama pengguna aktif dari laporan publik dan pertahankan realm di dalamnya. Menyamarkan setiap identitas ke placeholder yang sama justru menyembunyikan ketidakcocokan yang Anda cari. Stempel waktu juga penting, karena gateway, proxy, dan direktori menyimpan log terpisah.

Lalu dokumentasikan bentuk yang menang untuk pengguna, karena orang berikutnya yang salah mengetiknya akan membuka tiket yang sama. Reset kata sandi tidak memperbaiki permintaan yang terus mendarat di namespace yang salah. Realm adalah keputusan perutean, dan keputusan perutean diperbaiki dengan menamainya dengan benar.