VPN аутентификация аймагы: кайсы аккаунт аталыш мейкиндиги жеңет?

Ар бир VPN кирүүсү кандайдыр бир аккаунт аталыш мейкиндигине түшөт, ал эми аймак (realm) кайсынысын тандаган селектор болуп саналат. Ал өлкө, сервердин жайгашкан жери же ишеним деңгээли жөнүндө эч нерсе айтпайды. Эки бирдей колдонуучу аты ар башка аймактарда болушу мүмкүн, ошондуктан туура сырсөз кээде туура эмес аккаунтту аутентификациялайт. Бул колдонмо адегенде инсандык формасын оңдойт, анан сурамды чындыгында жооп берген системага чейин көзөмөлдөйт.

Аймак эмнени тандайт

Шлюз колдонуучу атын кабыл алып, аны кайдан текшерүүнү чечиши керек. Аймак — ошол аттын бөлүгү же анын жанындагы атрибут, ал маалымат базасын тандайт: каталог, RADIUS бассейни, жергиликтүү аккаунт файлы. Microsoft NPS муну аймак аты деп атайт жана аны менен туташуу сурамдарын багыттайт, ал эми EAP тармактык кирүү идентификатору ошол эле идеяны RFC 7542 ичинде at белгисинен кийинки уланды катары алып жүрөт. Экөө тең селектор, жана эч бири аккаунт маалыматтарынын жарактуулугун чечпейт.

Бул бөлүнүү эки абдан башка ийгиликсиздик жаратат. Туура багыттаган аймак туура эмес сырсөз менен бир баш тартуу берет, ал эми туура эмес маалымат базасына багыттаган аймак туура сырсөздү четке кагышы же башка бирөөнүкүн кабыл алышы мүмкүн. Эч бир ката аймакты эскербейт, ошондуктан биринчи диагностика дайыма бирдей: кайсы система жооп бергенин аныктоо.

Аймактын синтаксиси жайгаштырууга таандык. Кээ бир кызматтар квалификациясыз ат жана атрибут каалашат, башкалары user@domain каалашат, ал эми аздары көпчүлүк колдонмолор эске албаган артка кайчы сызыктуу форманы күтүшөт.

Бэкенд күткөн форманы колдонуңуз

Окуу куралындагы уландыларды сынаардан мурун оператордон кайсы форманы теришин сураңыз. Жөнөкөй ат күткөн бэкендге жеткен домен менен квалификацияланган ат адатта сырсөздү текшерүүдө эмес, издөөдө ийгиликсиз болот. Эки каталогдогу бирдей кыска ат — жок аймак эң көп зыян келтирген учур.

Башкаруу аккаунтун далил деп эсептебеңиз. Кызматты башкарган веб-консол жергиликтүү файлга аутентификация кылышы мүмкүн, ал эми туннель башка таптакыр башка каталогду текшерет. Реалдуу колдонуучу колдоно турган аккаунт маалыматтары менен, реалдуу колдонуучу колдоно турган интерфейсте сынаңыз. Консолго ийгиликтүү кирүү шлюздун VPN аутентификациясына колдонгон аймагы жөнүндө эч нерсе айтпайды.

Браузерлер жана почта клиенттери кээде мурунку инсандыкты кэштеп, аны үнсүз кайра жөнөтүшөт. Билдирилген колдонуучу аты терилгенден айырмаланса, эң оболу ошол кэшти караш керек.

Сурамды прокси аркылуу көзөмөлдөңүз

FreeRADIUS фронтендинде аймактар прокси конфигурациясында жарыяланат, ал эми жарыяланган уланды кайсы үй сервери сурамды алаарын чечет. Бир нерсени өзгөртүүдөн мурун ошол файлды окуңуз, анткени эч бир аймакка дал келбеген сурам демейки боюнча жергиликтүү иштетилет.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep кайсы уландылар бар экенин жана ар бири кайсы бассейнди көздөөрүн көрсөтөт. radtest чакыруусу аймагы бар атты жана атайын туура эмес сырсөздү жөнөтөт, ошондуктан баш тартуу багыттоо да, аккаунт маалыматтарын текшерүү да аткарылганын далилдейт. Ошол аракеттин айланасындагы журнал саптары аттын проксиге чейин алынып салынганын жана кайсы үй сервери аны кабыл алганын көрсөтөт. Эгер журнал такыр аймак дал келүүсүн көрсөтпөсө, сурам жергиликтүү серверден чыккан эмес жана көйгөй сырсөздө эмес, уландыда.

Бир убакта бир нерсени өзгөртүп, аракетти кайталаңыз, анткени журнал багыттоону аккаунт маалыматтарынын ийгиликсиздигинен кирүү жүгүртүүлөрдүн ортосунда айырмаланганда гана ажыратат. Жалпы сырды shell тарыхынан тышкары кармаңыз, курал файлдан же сурамдан окууну колдогон жерде.

Аракетти жарыя кылбай жазып алыңыз

Ийгиликсиздикти администратор иштей ала турган формада жазыңыз: интерфейс, инсандык формасы, аймак болдубу, жана так сыр эмес ката. Иштеп жаткан колдонуучу атын жарыя отчеттордон тышкары кармаңыз, аймакты ичинде калтырыңыз. Ар бир инсандыкты бирдей толтургучка чейин кыскартуу дал сиз издеп жаткан шайкешсиздикти жашырат. Убакыт белгиси да маанилүү, анткени шлюз, прокси жана каталог өзүнчө журналдарды жүргүзөт.

Анан колдонуучулар үчүн жеңген форманы документтештириңиз, анткени кийинки адам аны туура эмес тергенде ошол эле билетти ачат. Сырсөздү кайра коюу туура эмес аталыш мейкиндигине түшүп жаткан сурамды оңдобойт. Аймак — багыттоо чечими, ал эми багыттоо чечимдери аларды туура атоо менен оңдолот.