VPN-ის ავთენტიფიკაციის სფერო: რომელი ანგარიშის სახელთა სივრცე იმარჯვებს?

ყოველი VPN შესვლა რომელიმე ანგარიშის სახელთა სივრცეში ხვდება, და სფერო (realm) არის ის ამომრჩევი, რომელიც წყვეტს რომელში. ის არაფერს ამბობს ქვეყანაზე, სერვერის მდებარეობაზე ან ნდობის დონეზე. ორი იდენტური მომხმარებლის სახელი შეიძლება სხვადასხვა სფეროში ცხოვრობდეს, ამიტომ სწორი პაროლი ზოგჯერ არასწორ ანგარიშს ავთენტიფიცირებს. ეს სახელმძღვანელო ჯერ იდენტობის ფორმას ასწორებს, შემდეგ კი მოთხოვნას მიჰყვება იმ სისტემამდე, რომელმაც რეალურად უპასუხა.

რას ირჩევს სფერო

გეითვეი იღებს მომხმარებლის სახელს და უნდა გადაწყვიტოს სად შეამოწმოს ის. სფერო არის ამ სახელის ის ნაწილი, ან მის გვერდით არსებული ატრიბუტი, რომელიც ირჩევს მონაცემთა ბაზას: კატალოგი, RADIUS-ის აუზი, ლოკალური ანგარიშების ფაილი. Microsoft-ის NPS ამას სფეროს სახელს უწოდებს და მისი მეშვეობით მარშრუტიზაციას უკეთებს კავშირის მოთხოვნებს, ხოლო EAP-ის ქსელური წვდომის იდენტიფიკატორი იმავე იდეას ატარებს როგორც სუფიქსი at ნიშნის შემდეგ RFC 7542-ში. ორივე ამომრჩევია და არც ერთი არ წყვეტს სანდოობის მონაცემი კარგია თუ არა.

ეს გამიჯვნა ორ ძალიან განსხვავებულ მარცხს წარმოშობს. სწორად მარშრუტიზებადი სფერო არასწორი პაროლით ერთ უარყოფას იძლევა, ხოლო არასწორ მონაცემთა ბაზაზე მიმართული სფერო შეიძლება სწორი პაროლი უარყოს ან სხვისი მიიღოს. არც ერთი შეცდომა არ იხსენიებს სფეროს, ამიტომ პირველი დიაგნოზი ყოველთვის ერთია: გაარკვიე რომელმა სისტემამ უპასუხა.

სფეროს სინტაქსი განლაგებას ეკუთვნის. ზოგი სერვისი ითხოვს არაკვალიფიცირებულ სახელს პლუს ატრიბუტს, სხვები ითხოვენ user@domain-ს, და რამდენიმე ელოდება უკუდახრილი ფორმას, რომელსაც გიდების უმეტესობა არ იხსენიებს.

გამოიყენე ფორმა, რომელსაც ბექენდი ელოდება

ჰკითხე ოპერატორს რომელი ფორმა უნდა აკრიფო, სანამ გიდიდან სუფიქსებს გამოცდი. დომენით კვალიფიცირებული სახელი, რომელიც უბრალო სახელს მოლოდინში მყოფ ბექენდს აღწევს, ჩვეულებრივ ვერ ახერხებს ძიებას და არა პაროლის შემოწმებას. იგივე მოკლე სახელი ორ კატალოგში ის შემთხვევაა, სადაც დაკარგული სფერო ყველაზე მეტ ზიანს აყენებს.

მართვის ანგარიში მტკიცებულებად არ მიიღო. ვებ-კონსოლი, სადაც სერვისს მართავ, შეიძლება ლოკალურ ფაილზე ავთენტიფიკაცია აკეთებდეს, მაშინ როცა გვირაბი სრულიად სხვა კატალოგს ამოწმებს. გამოსცადე იმ მონაცემებით, რომლებსაც რეალური მომხმარებელი გამოიყენებდა, იმ ინტერფეისზე, რომელსაც რეალური მომხმარებელი გამოიყენებდა. წარმატებული კონსოლის შესვლა არაფერს ამბობს იმ სფეროზე, რომელსაც გეითვეი VPN-ის ავთენტიფიკაციაზე იყენებს.

ბრაუზერები და ფოსტის კლიენტები ზოგჯერ წინა იდენტობას ინახავენ და ჩუმად ხელახლა აგზავნიან. როცა მოხსენებული მომხმარებლის სახელი აკრეფილისგან განსხვავდება, სწორედ ეს ქეშია პირველი ადგილი სადაც უნდა შეხედო.

მოთხოვნის კვალი პროქსის გავლით

FreeRADIUS-ის ფრონტენდზე სფეროები პროქსის კონფიგურაციაშია გამოცხადებული, და გამოცხადებული სუფიქსი წყვეტს რომელი სახლის სერვერი მიიღებს მოთხოვნას. წაიკითხე ის ფაილი სანამ რამეს შეცვლი, რადგან ვერც ერთ სფეროსთან შეუთავსებელი მოთხოვნა ნაგულისხმევად ლოკალურად მუშავდება.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep აჩვენებს რომელი სუფიქსები არსებობს და თითოეული რომელ აუზს მიმართავს. radtest-ის გამოძახება აგზავნის სფეროს მქონე სახელს და განზრახ არასწორ პაროლს, ამიტომ უარყოფა ადასტურებს რომ მარშრუტიზაციაც და მონაცემების შემოწმებაც შესრულდა. ამ მცდელობის გარშემო ჟურნალის ხაზები აჩვენებს გაიწმინდა თუ არა სახელი პროქსამდე და რომელმა სახლის სერვერმა აიღო ის. თუ ჟურნალი საერთოდ არ აჩვენებს სფეროს დამთხვევას, მოთხოვნა ლოკალური სერვერიდან არასდროს გასულა და პრობლემა სუფიქსია და არა პაროლი.

თითო ჯერზე ერთი რამ შეცვალე და გაიმეორე მცდელობა, რადგან ჟურნალი მარშრუტიზაციას სანდოობის მარცხისგან მხოლოდ მაშინ გამოჰყოფს, როცა შეყვანა გაშვებებს შორის განსხვავდება. საერთო საიდუმლო shell-ის ისტორიისგან მოშორებით შეინახე, სადაც ხელსაწყო ფაილიდან ან მოთხოვნიდან წაკითხვას უჭერს მხარს.

ჩაწერე მცდელობა გაჟონვის გარეშე

მარცხი ჩაწერე ისე, რომ ადმინისტრატორმა იმოქმედოს: ინტერფეისი, იდენტობის ფორმა, იყო თუ არა სფერო, და ზუსტი არასაიდუმლო შეცდომა. ცოცხალი მომხმარებლის სახელი საჯარო ანგარიშებიდან მოშორებით შეინახე, სფერო კი შიგნით დატოვე. ყველა იდენტობის ერთსა და იმავე დროებით ნიშნულამდე დაყვანა ზუსტად იმ შეუსაბამობას მალავს, რომელსაც ეძებ. დროის ნიშანიც მნიშვნელოვანია, რადგან გეითვეი, პროქსი და კატალოგი ცალკეულ ჟურნალებს ინახავენ.

შემდეგ მომხმარებლებისთვის დააფიქსირე მომგები ფორმა, რადგან შემდეგი ადამიანი, ვინც მას არასწორად აკრიფებს, იმავე ბილეთს გახსნის. პაროლის შეცვლა არ ასწორებს მოთხოვნას, რომელიც არასწორ სახელთა სივრცეში აგრძელებს ჩამოვარდნას. სფერო მარშრუტიზაციის გადაწყვეტილებაა, და მარშრუტიზაციის გადაწყვეტილებები სწორად დარქმევით სწორდება.