VPN-ге кіру RADIUS Access-Challenge-інен кейін тұрып қалады

Құпия сөзіңіз дұрыс, соған қарамастан VPN-ге кіру сәтсіз аяқталады, ал RADIUS сервері өзіне айтылғанды дәл орындаған болуы мүмкін. Шлюз Access-Challenge қабылдап, пайдалы ештеңе көрсетпеген, содан кейін уақыт біткен немесе бұл жауапты бас тарту деп қабылдаған болуы мүмкін. Клиент жағынан бұл қате тіркелгі деректері немесе бүлінген туннель сияқты көрінеді. Себебі әдетте ешкім тіркемеген әңгіменің ортасында жатады.

Бір кіру, екі RADIUS алмасуы

Артқы жүйе екінші факторды қалағанда, ол бірінші сұрауға қабылдау немесе бас тартумен жауап бермейді. Ол 11 кодымен жауап береді және пайдаланушының келесі жауабын күтеді, оны шлюз жалғастыру сұрауында кері жіберуі керек. Бұл жалғастыру сұрауы сол аутентификация әңгімесіне жатады, жаңа кіру әрекетіне емес.

Жұмыс істеп тұрған конфигурацияда пайдаланушы екінші сұранысты көреді: алдымен құпия сөз, содан кейін бір реттік код, немесе оператор құжаттаған болса, бір біріктірілген сұраныс. Бүлінген конфигурацияда екінші сұраныс ешқашан шықпайды және кіру жай ғана сәтсіз аяқталады.

Дәл осы симптомды қуу керек, және оны тек клиент жағынан растау оңай: егер VPN клиенті дәл бір құпияны сұрап, содан кейін жарамды деп білетін құпия сөзді қабылдамаса, алмасу шақыруда аяқталған болуы мүмкін.

Шақыру шын мәнінде нені тасымалдайды

RADIUS спецификациясы 4.4 бөлімінде 11 кодын сипаттайды және мұнда маңызды екі атрибутқа рұқсат береді. Reply-Message пайдаланушыға арналған мәтінді сақтайды, ал State сервер қайтаруды қалайтын түсініксіз мәнді сақтайды. NAS State-ті түсіндірмеуі керек, тек өзгеріссіз қайтаруы керек.

Жалғастыру сұрауы жаңа Identifier мен жаңа Request Authenticator пайдаланады және сол State мәнін және пайдаланушының жауабын тасымалдауы керек. Сервер оны сол State арқылы күтіп тұрған шақырумен сәйкестендіреді, сондықтан атрибутты қайта жасайтын немесе тастап кететін шлюз рәсімді аяқтай алмайды. Әр жауаптағы response authenticator да тексерілуі керек, әйтпесе NAS пакетті тастауы керек.

4.4 бөлімі көптеген үнсіз сәтсіздіктерді түсіндіретін бөлшекті қосады: шақыруларды қолдай алмайтын NAS Access-Challenge-ті бас тарту деп санайды. Егер шлюзіңіздің VPN қызметі бұл қолдаудан ескі болса немесе оны тастап кетсе, артқы жүйенің екінші фактор туралы сұрауы ешқандай сұраныссыз лезде «аутентификация сәтсіз» болады.

Шынжырлы сұрау қайда жоғалады

Бірінші күдікті — тіркелгі деректері емес, сұраныс жолы. Веб кірулер үшін OTP өрісін көрсететін портал мұны VPN қызметі үшін автоматты түрде жасамайды, ал кейбір шлюздер шақыруды тек осы мүмкіндікті жариялайтын клиенттерге береді. Сол тіркелгіні екі кіру нүктесінде де сынап көріңіз; портал жұмыс істеп, VPN істемесе, сіз берілуді қарап отырсыз, токенді емес.

Кіріс пішімі — екінші күдікті. Құпия сөз мен кодты жеткізуші құжаттаған бөлгішсіз біріктіру немесе сақталған деректерге ескі кодты қайталауға рұқсат беру қате құпия сөзге толық ұқсайтын сәтсіздікке әкеледі. Оператор құжаттаған бөлек сұранысты немесе біріктірілген пішімді пайдаланыңыз және ешқашан өзіңіз бөлгіш ойлап таппаңыз.

Шығарылымға тән ақаулар бар, бірақ бірнеше жыл бұрын түзетілген нұсқалар тізімі бүгінгі орналастыру үшін диагноз емес. Нақты іске қосып отырған бағдарламалық жасақтаманың шығарылым жазбаларын оқыңыз және байқалған алмасу кезеңін дәлел ретінде сақтаңыз.

Бір әрекетті басынан аяғына дейін қадағалаңыз

Сервер жағында жөндеуді қосып, бір рет қайталаңыз және барлық басқа сессияларды ұстап алу терезесінен тыс ұстаңыз:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

Шығыста бір жолды емес, әңгіменің пішінін іздеңіз. Identifier 3 бар бірінші Access-Request, State тасымалдайтын Access-Challenge, содан кейін сол State-ті қайталайтын және пайдаланушының жауабын қамтитын Identifier 4 бар екінші Access-Request. Егер екінші сұрау жоқ болса, шлюз ешқашан жалғастырмаған. Егер ол State-сіз келсе, сервер оны күтіп тұрған шақырумен сәйкестендіре алмайды және әдетте қабылдамайды.

Ізді бөліскенде тіркелгі деректерін, токендерді және қажетсіз жеке деректерді жасырыңыз, және бірнеше браузер қойындысының қайталауларын араластырудың орнына бір әрекеттің оқиғаларын байланыстырыңыз. Уақыт белгілері мұнда сіздің досыңыз; клиент бас тартқаннан кейін келетін шақыру пайдаланушыға бас тарту, ал журналда баяу жауап болып көрінеді.

Қалаған соңғы күй — аяқталған, рұқсат етілген әңгіме және одан кейінгі көзделген қызметке қатынас. RADIUS серверінен келген жауап бұдан әлдеқайда азын дәлелдейді.