VPN кирүү RADIUS Access-Challenge-ден кийин токтоп калат

Сырсөзүңүз туура, ошого карабастан VPN кирүү ишке ашпайт, ал эми RADIUS сервери ага айтылганды так аткарган болушу мүмкүн. Шлюз Access-Challenge алган, пайдалуу эч нерсе көрсөткөн эмес, анан убакыт бүткөн же бул жоопту баш тартуу деп кабыл алган болушу мүмкүн. Кардар тараптан бул туура эмес кирүү дайындары же бузулган туннель сыяктуу көрүнөт. Себеби адатта эч ким жаздырбаган сүйлөшүүнүн ортосунда жатат.

Бир кирүү, эки RADIUS алмашуусу

Арткы система экинчи факторду кааласа, ал биринчи суроого кабыл алуу же баш тартуу менен жооп бербейт. Ал 11 код менен жооп берет жана колдонуучунун кийинки жообун күтөт, аны шлюз уландылоо суроосунда кайра жөнөтүшү керек. Ал уландылоо суроосу ошол эле аутентификация сүйлөшүүсүнө таандык, жаңы кирүү аракетине эмес.

Иштеп жаткан конфигурацияда колдонуучу экинчи сурамды көрөт: адегенде сырсөз, анан бир жолу колдонулуучу код, же оператор документтештирген болсо, бир бириктирилген сурам. Бузулган конфигурацияда экинчи сурам такыр көрүнбөйт жана кирүү жөн эле ишке ашпайт.

Так ушул симптомду кубалоо керек, жана аны кардар тараптан эле ырастоо оңой: эгер VPN кардары так бир сырды сурап, анан жарактуу деп билген сырсөздү четке какса, алмашуу чакырыкта аяктаган болушу мүмкүн.

Чакырык чындыгында эмнени алып жүрөт

RADIUS спецификациясы 4.4 бөлүмүндө 11 кодду сүрөттөйт жана бул жерде маанилүү эки атрибутка жол берет. Reply-Message колдонуучуга арналган текстти сактайт, ал эми State сервер кайра алууну каалаган түшүнүксүз маанини сактайт. NAS Stateти чечмелебеши керек, аны өзгөртпөй кайтарышы керек.

Уландылоо суроосу жаңы Identifier жана жаңы Request Authenticator колдонот жана ошол эле State маанисин жана колдонуучунун жообун алып жүрүшү керек. Сервер аны ошол State аркылуу күтүп турган чакырык менен дал келтирет, ошондуктан атрибутту кайра жараткан же таштап кеткен шлюз бул жөрөлгөнү бүтүрө албайт. Ар бир жооптогу response authenticator да текшерилиши керек, болбосо NAS пакетти ташташы керек.

4.4 бөлүмү көптөгөн үнсүз ийгиликсиздиктерди түшүндүргөн деталды кошот: чакырыктарды колдой албаган NAS Access-Challenge-ди баш тартуу деп эсептейт. Эгер шлюзуңуздун VPN кызматы бул колдоодон эски болсо же аны таштап кетсе, арткы системанын экинчи фактор тууралуу суроосу эч кандай сурамсыз заматта «аутентификация ишке ашпады» болуп калат.

Чынжырлуу суроо кайда жоголот

Биринчи шектүү — кирүү дайындары эмес, сурамдын жолу. Веб кирүүлөр үчүн OTP талаасын көрсөткөн портал муну VPN кызматы үчүн автоматтык түрдө жасабайт, ал эми айрым шлюздер чакырыкты ушул мүмкүнчүлүктү жарыялаган кардарларга гана берет. Ошол эсепти эки кирүү чекитинде тең сынап көрүңүз; портал иштеп, VPN иштебесе, сиз өткөрүп берүүнү карап жатасыз, токенди эмес.

Кирүү форматы — экинчи шектүү. Сырсөз менен кодду жеткирүүчү документтештирген бөлгүчсүз бириктирүү же сакталган дайындарга эски кодду кайталап ойноого жол берүү туура эмес сырсөзгө толук окшош ийгиликсиздикке алып келет. Оператор документтештирген өзүнчө сурамды же бириктирилген форматты колдонуңуз жана эч качан өзүңүз бөлгүч ойлоп таппаңыз.

Чыгарылышка таандык кемчиликтер бар, бирок бир нече жыл мурун оңдолгон версиялардын тизмеси бүгүнкү жайгаштыруу үчүн диагноз эмес. Иш жүзүндө иштетип жаткан программанын чыгарылыш эскертүүлөрүн окуңуз жана байкалган алмашуу баскычын далил катары сактаңыз.

Бир аракетти башынан аягына чейин көзөмөлдөңүз

Сервер тараптагы жөндөөнү күйгүзүп бир жолу кайталаңыз жана бардык башка сессияларды кармоо терезесинен тышкары кармаңыз:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

Чыгарылышта бир сапты эмес, сүйлөшүүнүн формасын издеңиз. Identifier 3 бар биринчи Access-Request, State алып жүргөн Access-Challenge, анан ошол Stateди кайталаган жана колдонуучунун жообун камтыган Identifier 4 бар экинчи Access-Request. Экинчи суроо жок болсо, шлюз эч качан уландылаган эмес. Эгер ал State жок келсе, сервер аны күтүп турган чакырык менен дал келтире албайт жана адатта баш тартат.

Изди бөлүшүүдө кирүү дайындарын, токендерди жана ашыкча инсандык дайындарды жашырыңыз, жана бир нече браузер өтмөктөрүнүн кайталоолорун аралаштыруунун ордуна бир аракеттин окуяларын байланыштырыңыз. Убакыт белгилери бул жерде сиздин досуңуз; кардар баш тарткандан кийин келген чакырык колдонуучуга баш тартуу, ал эми журналда жай жооп болуп көрүнөт.

Каалаган акыркы абал — бүткөрүлгөн, уруксат берилген сүйлөшүү жана андан кийинки көздөлгөн кызматка жетүү. RADIUS серверинен келген жооп бул жөнүндө андан алда канча азын далилдейт.