VPN-Authentifikatiounsrealm: Wéi en Account-Nummraum gewënnt?

All VPN-Login landt an engem Account-Nummraum, an de Realm ass de Selekter, deen entscheet wéi en. Hie seet näischt iwwer d'Land, de Serverstanduert oder d'Vertrauensniveau. Zwou identesch Benotzernimm kënnen an ënnerschiddleche Realmë liewen, dofir authentifizéiert e richtegt Passwuert heiansdo de falschen Account. Dëse Runbook fixéiert fir d'éischt d'Form vun der Identitéit an da verfollegt en d'Ufro bis zu deem System, deen tatsächlech geäntwert huet.

Wat de Realm auswielt

En Gateway kritt e Benotzernumm a muss entscheeden wou en en iwwerpréift. De Realm ass den Deel vun deem Numm, oder d'Attribut niewendrun, deen d'Datebank auswielt: en Verzeechnis, en RADIUS-Pool, eng lokal Kontedatei. Dem Microsoft säin NPS nennt dat en Realmnumm a leet Verbindungsufroe domat ëm, wärend den EAP-Netzwerkzougangsidentifkator déi selwecht Iddi als Suffix nom At-Zeechen an RFC 7542 dréit. Béid si Selekteren, an keen entscheet ob d'Credential gutt ass.

Dës Trennung produzéiert zwee ganz ënnerschiddlech Versoen. E Realm dee richteg leet gëtt mat engem falsche Passwuert eng Oflehnung, wärend e Realm deen op déi falsch Datebank leet e richtegt Passwuert ofleene kann oder engem aneren säint akzeptéieren. Keng vun den Feeler ernimmt de Realm, dofir ass déi éischt Diagnos ëmmer déiselwecht: erausfannen wéi e System geäntwert huet.

D'Syntax vum Realm gehéiert zum Deployment. E puer Servicer wëllen en onqualifizéierten Numm plus en Attribut, anerer wëllen user@domain, an e puer erwaarden eng Form mat engem Réckslash, déi déi meescht Guide net ernimmen.

Benotzt d'Form déi de Backend erwaart

Frot den Operateur wéi eng Form ze tippen ier Dir Suffixer aus engem Tutorial probéiert. En Domain-qualifizéierten Numm, deen an e Backend kënnt deen en einfachen Numm erwaart, fält normalerweis bei der Sich duerch, net bei der Passwuertpréifung. Dee selwechten kuerzen Numm an zwee Verzeechnisser ass de Fall wou e fehlende Realm de gréissten Schued mécht.

Betruecht de Management-Account net als Beweis. D'Webkonsole wou Dir de Service administréiert kann géint eng lokal Datei authentifizéieren, wärend den Tunnel en ganz anert Verzeechnis préift. Test mat de Credentials déi e richtegen Notzer géif benotzen, op der Interface déi e richtegen Notzer géif benotzen. En erfollegräichen Konsol-Login seet näischt iwwer de Realm deen de Gateway op d'VPN-Authentifikatioun uwendt.

Browsere a Mailclienten cachéieren heiansdo eng fréier Identitéit a schécken se roueg nach eng Kéier. Wann de gemellten Benotzernumm sech vum getippten ënnerscheet, ass dee Cache déi éischt Plaz fir ze kucken.

Verfollegt d'Ufro duerch de Proxy

Op engem FreeRADIUS-Frontend ginn d'Realmë an der Proxy-Konfiguratioun deklaréiert, an de deklaréierte Suffix entscheet wéi en Heemserver d'Ufro kritt. Liest déi Datei ier Dir eppes ännert, well eng Ufro déi keen Realm entsprécht gëtt par défaut lokal behandelt.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep weist wéi eng Suffixer et gëtt a wéi en Pool jiddwereen zilt. Den radtest-Aufruff schéckt en Numm mat engem Realm an eng bewosst falscht Passwuert, also beweist eng Oflehnung datt souwuel d'Routing wéi och d'Credentialpréifung gelaf sinn. D'Journallinnen ronderëm deen Versuch weisen ob den Numm virum Proxy ewechgeholl gouf a wéi en Heemserver en iwwerholl huet. Wann de Log guer keng Realm-Iwwereneestëmmung weist, huet d'Ufro de lokale Server ni verlooss an de Suffix ass de Problem, net d'Passwuert.

Ännert eng Saach op eng Kéier a widderhuelt den Versuch, well de Log Routing vu Credentialfeeler nëmmen trennt wann den Input tëscht de Läif ënnerschiddlech ass. Hält de gemeinsame Geheimnis aus der Shell-Historie wou den Tool d'Liesen aus enger Datei oder engem Prompt ënnerstëtzt.

Dokumentéiert den Versuch ouni en ze lecken

Schreift de Feeler an enger Form op déi en Administrateur ka reagéieren: d'Interface, d'Form vun der Identitéit, ob e Realm dobäi war, an dee geneeën net-geheimen Feeler. Hält de liewegen Benotzernumm aus ëffentleche Rapporten an de Realm dobannen. All Identitéit op dee selwechte Platzhalter ze redigéieren verstoppt genee déi Onstëmmegkeet déi Dir sicht. Den Zäitstempel zielt och, well Gateway, Proxy an Verzeechnis getrennte Logge féieren.

Dokumentéiert duerno déi gewënnt Form fir d'Notzer, well déi nächst Persoun déi se falsch tippt deeselwechten Ticket opmécht. En Passwuert-Reset reparéiert keng Ufro déi ëmmer an de falschen Nummraum landt. De Realm ass eng Routing-Entscheedung, an Routing-Entscheedunge gi fixéiert andeem een se richteg nennt.