VPN-auðkenningarsvið: hvaða reikningsnafnrými vinnur?

Hver VPN-innskráning lendir í einhverju reikningsnafnrými, og sviðið (realm) er valið sem ákveður hvaða. Það segir ekkert um landið, staðsetningu þjónsins eða trauststigið. Tvö eins notandanöfn geta lifað í mismunandi sviðum, þess vegna auðkennir rétt lykilorð stundum rangann reikning. Þessi handbók lagar fyrst form auðkennisins og rekur síðan beiðnina til kerfisins sem svaraði í raun.

Hvað sviðið velur

Gátt tekur við notandanafni og verður að ákveða hvar á að athuga það. Sviðið er sá hluti nafnsins, eða eiginleikinn við hlið þess, sem velur gagnagrunninn: skrá, RADIUS-laug eða staðbundið reikningsskjal. NPS frá Microsoft kallar þetta sviðsnafn og beinir tengingarbeiðnum með því, en EAP-netaðgangsauðkennið ber sömu hugmynd sem viðskeyti á eftir at-tákninu í RFC 7542. Bæði eru val og hvorugt ákveður hvort skírteinið sé gott.

Þessi aðskilnaður framleiðir tvenns konar mjög ólík mistök. Svið sem beinir rétt með röngu lykilorði gefur eina höfnun, en svið sem beinir á rangan gagnagrunn getur hafnað réttu lykilorði eða samþykkt lykilorð einhvers annars. Hvorug villa nefnir sviðið, þess vegna er fyrsta greiningin alltaf sú sama: komast að því hvaða kerfi svaraði.

Setningafræði sviðsins tilheyrir uppsetningunni. Sumar þjónustur vilja óskilyrt nafn auk eiginleika, aðrar vilja user@domain, og fáar búast við formi með bakstriki sem flestar leiðbeiningar nefna ekki.

Notaðu formið sem bakendinn býst við

Spurðu stjórnandann hvaða form á að slá inn áður en þú prófar viðskeyti úr kennsluefni. Nafn með léni sem nær til bakenda sem býst við einföldu nafni mistekst venjulega í uppflettingunni, ekki í lykilorðsprófuninni. Sama stutta nafnið í tveimur skrám er tilvikið þar sem vantar svið veldur mestum skaða.

Ekki líta á stjórnunaraðganginn sem sönnun. Vefstjórnborðið þar sem þú stýrir þjónustunni gæti auðkennt gagnvart staðbundinni skrá, á meðan göngin athuga allt annan skrá. Prófaðu með skírteinum sem raunverulegur notandi myndi nota, í viðmótinu sem raunverulegur notandi myndi nota. Árangursrík innskráning í stjórnborðið segir ekkert um sviðið sem gáttin beitir við VPN-auðkenningu.

Vafrar og tölvupóstforrit geyma stundum fyrra auðkenni og senda það aftur hljóðlaust. Þegar tilgreint notandanafn er annað en það sem slegið var inn, er það skyndiminni fyrsti staðurinn til að skoða.

Rekjaðu beiðnina í gegnum milliþjóninn

Á FreeRADIUS framenda eru svið skilgreind í stillingum milliþjónsins, og skilgreinda viðskeytið ákveður hvaða heimþjónn fær beiðnina. Lestu þá skrá áður en þú breytir nokkru, því beiðni sem passar ekkert svið er sjálfgefið meðhöndluð staðbundið.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep sýnir hvaða viðskeyti eru til og hvaða laug hvert þeirra miðar á. radtest-kallið sendir nafn með sviði og viljandi röngu lykilorði, svo höfnun sannar að bæði leiðin og skírteinisprófunin hafi keyrt. Dagbókarlínur í kringum þá tilraun sýna hvort nafnið var fjarlægt fyrir milliþjón og hvaða heimþjónn tók við því. Ef dagbókin sýnir alls enga sviðsjöfnun fór beiðnin aldrei frá staðbundna þjóninum og viðskeytið er vandamálið, ekki lykilorðið.

Breyttu einu í einu og endurtaktu tilraunina, því dagbókin aðgreinir leiðsögn frá skírteinisbilun aðeins þegar inntakið er ólíkt milli keyrslna. Hafðu sameiginlega leyndarmálið utan skeljasögunnar þar sem tólið styður lestur úr skrá eða kvaðningu.

Skráðu tilraunina án þess að leka henni

Skrifaðu bilunina í formi sem stjórnandi getur brugðist við: viðmótið, form auðkennisins, hvort svið var til staðar og nákvæma leyndarmálslausa villu. Hafðu virka notandanafnið utan opinberra skýrslna og hafðu sviðið inni. Að afmá hvert auðkenni í sama staðgengilinn felur einmitt ósamræmið sem þú ert að leita að. Tímastimpillinn skiptir líka máli, því gáttin, milliþjónninn og skráin halda aðskildar dagbækur.

Skráðu síðan sigurformið fyrir notendur, því næsta manneskja sem slær það rangt inn opnar sama miðann. Endurstilling lykilorðs lagar ekki beiðni sem lendir aftur og aftur í röngu nafnrými. Sviðið er leiðsagnarákvörðun, og leiðsagnarákvarðanir eru lagfærðar með því að nefna þær rétt.