VPN аутентификациясының аймағы: қай тіркелгі атау кеңістігі жеңеді?

Әрбір VPN кіруі қандай да бір тіркелгі атау кеңістігіне түседі, ал аймақ (realm) қайсысын таңдайтын селектор болып табылады. Ол ел, сервер орналасқан жер немесе сенім деңгейі туралы ештеңе айтпайды. Екі бірдей пайдаланушы аты әртүрлі аймақтарда болуы мүмкін, сондықтан дұрыс құпия сөз кейде қате тіркелгіні аутентификациялайды. Бұл нұсқаулық алдымен сәйкестік пішінін түзетеді, содан кейін сұранысты шын мәнінде жауап берген жүйеге дейін бақылайды.

Аймақ нені таңдайды

Шлюз пайдаланушы атын қабылдап, оны қайдан тексеру керектігін шешуі тиіс. Аймақ — сол аттың бөлігі немесе жанындағы атрибут, ол дерекқорды таңдайды: каталог, RADIUS пулы, жергілікті тіркелгі файлы. Microsoft NPS мұны аймақ атауы деп атайды және онымен қосылым сұраныстарын бағыттайды, ал EAP желілік қатынау идентификаторы сол идеяны RFC 7542 ішінде at белгісінен кейінгі жұрнақ ретінде алып жүреді. Екеуі де селектор, және ешқайсысы тіркелгі деректерінің жарамдылығын шешпейді.

Бұл бөлу екі мүлдем басқа сәтсіздік тудырады. Дұрыс бағыттайтын аймақ қате құпия сөзбен бір бас тарту береді, ал қате дерекқорға бағыттайтын аймақ дұрыс құпия сөзді қабылдамауы немесе біреудің құпия сөзін қабылдауы мүмкін. Ешбір қате аймақты атамайды, сондықтан алғашқы диагностика әрқашан бірдей: қай жүйе жауап бергенін анықтау.

Аймақ синтаксисі орналастыруға тән. Кейбір қызметтер біліксіз ат пен атрибутты қалайды, басқалары user@domain пішінін қалайды, ал бірнешеуі көптеген нұсқаулықтар атамайтын кері қиғаш сызығы бар пішінді күтеді.

Бэкенд күтетін пішінді пайдаланыңыз

Оқулықтан жұрнақтарды сынамас бұрын оператордан қай пішінді теру керектігін сұраңыз. Қарапайым ат күтетін бэкендке жеткен доменмен білікті ат әдетте құпия сөзді тексеруде емес, іздеуде сәтсіздікке ұшырайды. Екі каталогтағы бірдей қысқа ат — жоқ аймақ ең көп зиян келтіретін жағдай.

Басқару тіркелгісін дәлел деп санамаңыз. Қызметті басқаратын веб-консоль жергілікті файлға аутентификация жасауы мүмкін, ал туннель мүлдем басқа каталогты тексереді. Нақты пайдаланушы қолданатын тіркелгі деректерімен, нақты пайдаланушы қолданатын интерфейсте сынаңыз. Консольге сәтті кіру шлюздің VPN аутентификациясына қолданатын аймағы туралы ештеңе айтпайды.

Браузерлер мен пошта клиенттері кейде алдыңғы сәйкестікті кэштеп, оны үнсіз қайта жібереді. Хабарланған пайдаланушы аты терілгеннен өзгеше болса, ең алдымен сол кэшті қарау керек.

Сұранысты прокси арқылы бақылаңыз

FreeRADIUS фронтендінде аймақтар прокси конфигурациясында жарияланады, ал жарияланған жұрнақ қай үй серверінің сұранысты алатынын шешеді. Бірдеңені өзгерту алдында сол файлды оқыңыз, өйткені ешбір аймаққа сәйкес келмейтін сұраныс әдепкі бойынша жергілікті өңделеді.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep қандай жұрнақтар бар екенін және әрқайсысы қай пулға бағытталғанын көрсетеді. radtest шақыруы аймағы бар атты және әдейі қате құпия сөзді жібереді, сондықтан бас тарту бағыттаудың да, тіркелгі деректерін тексерудің де орындалғанын дәлелдейді. Сол әрекеттің айналасындағы журнал жолдары аттың проксиге дейін алынып тасталғанын және қай үй серверінің оны қабылдағанын көрсетеді. Егер журнал мүлдем аймақ сәйкестігін көрсетпесе, сұраныс жергілікті серверден шықпаған және мәселе құпия сөзде емес, жұрнақта.

Бір уақытта бір нәрсені өзгертіп, әрекетті қайталаңыз, өйткені журнал бағыттауды тіркелгі деректерінің сәтсіздігінен тек кіріс жүгірістер арасында өзгеше болғанда ажыратады. Ортақ құпияны shell тарихынан тыс ұстаңыз, құрал файлдан немесе сұраудан оқуды қолдайтын жерде.

Әрекетті жария етпей жазып алыңыз

Сәтсіздікті әкімші іске асыра алатын пішінде жазыңыз: интерфейс, сәйкестік пішіні, аймақ болды ма, және дәл құпия емес қате. Жұмыс істеп тұрған пайдаланушы атын жария есептерден тыс ұстаңыз, ал аймақты ішінде қалдырыңыз. Әрбір сәйкестікті бірдей толтырғышқа дейін қысқарту дәл сіз іздеп жүрген сәйкессіздікті жасырады. Уақыт белгісі де маңызды, өйткені шлюз, прокси және каталог бөлек журналдар жүргізеді.

Содан кейін пайдаланушылар үшін жеңген пішінді құжаттаңыз, өйткені келесі адам оны қате тергенде сол билетті ашады. Құпия сөзді қалпына келтіру қате атау кеңістігіне түсіп жатқан сұранысты түзетпейді. Аймақ — бағыттау шешімі, ал бағыттау шешімдері оларды дұрыс атау арқылы түзетіледі.