VPN-innskráning stöðvast eftir RADIUS Access-Challenge

Lykilorðið er rétt, VPN-innskráningin mistekst samt, og RADIUS-þjónninn hefur líklega gert nákvæmlega það sem honum var sagt. Hliðið fékk líklega Access-Challenge, sýndi ekkert gagnlegt og rann þá út á tíma eða túlkaði það svar sem afneitun. Frá sjónarhóli biðlarans lítur þetta út eins og röng skilríki eða brotinn göng. Orsökin liggur venjulega í miðju samtali sem enginn tók upp.

Ein innskráning, tvö RADIUS-skipti

Þegar bakendinn vill annan þátt svarar hann fyrstu beiðninni ekki með samþykki eða afneitun. Hann svarar með kóða 11 og bíður næsta svars notandans, sem hliðið verður að senda til baka í framhaldsbeiðni. Sú framhaldsbeiðni tilheyrir sama auðkenningarsamtali, ekki nýrri innskráningartilraun.

Í vinnandi uppsetningu sér notandinn aðra beiðni: fyrst lykilorðið, svo einnota kóða, eða eina sameinaða beiðni ef rekstraraðilinn hefur skjalfest slíka. Í biluðu uppsetningu birtist seinni beiðnin aldrei og innskráningin mistekst einfaldlega.

Þetta er einkennið sem á að elta, og auðvelt er að staðfesta það eingöngu frá biðlarahlið: ef VPN-biðlarinn biður um nákvæmlega eitt leyndarmál og hafnar svo lykilorði sem þú veist að er gilt, endaði skiptin líklega við áskorunina.

Hvað áskorunin ber í raun

RADIUS-forskriftin lýsir kóða 11 í kafla 4.4 og leyfir tvö eigindi sem skipta máli hér. Reply-Message geymir texta ætlaðan notandanum, og State geymir ógagnsætt gildi sem þjónninn vill fá til baka. NAS á ekki að túlka State, aðeins skila því óbreyttu.

Framhaldsbeiðnin notar nýjan Identifier og nýjan Request Authenticator, og hún verður að bera sama State-gildi auk svars notandans. Þjónninn passar hana við biðandi áskorunina í gegnum þetta State, þess vegna getur hlið sem endurnýjar eða sleppir eigindinu ekki klárað athöfnina. Einnig verður að sannreyna response authenticator í hverju svari, annars ætti NAS að henda pakkanum.

Kafli 4.4 bætir við smáatriðinu sem skýrir flest hljóðlát mistök: NAS sem getur ekki stutt áskoranir meðhöndlar Access-Challenge sem afneitun. Ef VPN-þjónusta hliðsins er eldri en þessi stuðningur eða sleppir honum, verður beiðni bakendsins um annan þátt að tafarlausu «auðkenning mistókst» án nokkurrar beiðni.

Hvar keðjubeiðnin týnist

Fyrsti grunsamlegi er leið beiðnarinnar, ekki skilríkin. Gátt sem sýnir OTP-reit fyrir vefinnskráningar gerir það ekki sjálfkrafa fyrir VPN-þjónustuna, og sum hlið senda áskorun aðeins til biðlara sem tilkynna þá getu. Prófaðu sama reikning á báðum inngöngum; ef gáttin virkar en VPN ekki, ertu að skoða afhendinguna, ekki táknið.

Innsláttarsniðið er annar grunsamlegi. Að tengja lykilorð og kóða án skjalfests aðskiljanda framleiðandans, eða leyfa vistuðum skilríkjum að endurspila gamlan kóða, mistekst á þann hátt sem lítur nákvæmlega út eins og rangt lykilorð. Notaðu skjalfesta aðskilda beiðnina eða sameinaða sniðið frá rekstraraðilanum, og búðu aldrei til aðskiljanda sjálf.

Útgáfusértæk gallar eru til, en listi yfir lagfærðar útgáfur frá fyrri árum er ekki greining fyrir uppsetningu dagsins í dag. Lestu útgáfuskýrslur þess hugbúnaðar sem þú keyrir í raun, og haltu athuguðu skiptastigi sem sönnunargögnum þínum.

Rekjaðu eina tilraun frá upphafi til enda

Endurframleiddu einu sinni, með kembiforritun á þjónahlið virkri, og haltu öllum öðrum setum fyrir utan upptökugluggann:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

Í úttakinu skaltu leita að lögun samtalssins frekar en einni línu. Fyrsta Access-Request með Identifier 3, Access-Challenge sem ber State, svo önnur Access-Request með Identifier 4 sem endurtekur þetta State og inniheldur svar notandans. Ef seinni beiðnin vantar fylgdi hliðið aldrei eftir. Ef hún kemur án State getur þjónninn ekki passað hana við biðandi áskorunina og hafnar henni venjulega.

Hyljið skilríki, tákn og óþarfa auðkennisgögn þegar þið deilið slóðinni, og tengið atburði úr einni tilraun í stað þess að blanda endurtekningum úr nokkrum vafraflipum. Tímastimplar eru vinir þínir hér; áskorun sem kemur eftir að biðlarinn gafst upp lítur út eins og afneitun fyrir notandann og hægt svar í annálinum.

Lokaástandið sem þú vilt er lokið, heimiluð samtal sem fylgt er eftir af fyrirhuguðum aðgangi að þjónustunni. Svar sem kemur frá RADIUS-þjóninum sannar miklu minna en það.