Wéi eng VPN-Anmeldung bei RADIUS an Ären Identitéitsprovider kënnt
Verfollegt eng VPN-Anmeldung vum Client bis zur RADIUS-Ufro vum Gateway, dem Identitéitsprovider dobäi an der Politik, déi no der Accept ugewannt gëtt.
D'lescht Woch konnt e Benotzer sech um VPN aloggen an ass trotzdem op engem Netz gelant, wou näischt opgeléist gouf. De Client sot verbonnen, de Gateway-Log sot Access-Accept, an d'Identitéitsteam sot, de Kont wier an der Rei. D'Anmeldung huet funktionéiert; d'Autorisatioun dobäi net. Wann eng VPN-Anmeldung feelt, ginn ech de Wee, deen d'Ufro tatsächlech hëlt — Client, Gateway, RADIUS-Server, Identitéitsprovider — a stoppen um éischte Sprong, deem seng Äntwert net mat der nächster iwwerenee stëmmt.
De Client schwätzt ni RADIUS
Wat d'App um Laptop och weist, hirem éischte Sprong ass de VPN-Protokoll: IKEv2, OpenVPN, WireGuard oder en TLS-baséierte Client. RADIUS kënnt an deem Austausch net vir. De Client authentifizéiert sech um Gateway mat engem Zertifikat, engem Benotzernumm a Passwuert, oder enger EAP-Method, déi am Tunnelopbau gedroe gëtt.
Dat zielt, wann Dir Loge liest, well de genereschen Authentifizéierungsfehler, deen de Benotzer gesäit, vum Gateway produzéiert gëtt, nodeems et schonn mat eppes anescht geschwat huet. Wann de Client den Gateway ni erreecht, gëtt et keng RADIUS-Ufro ze debuggen, an eng Stonn um RADIUS-Server ass verschwend. Bestätegt, datt den Tunnel iwwerhaapt opkomm ass, ier Dir de Backend beréiert.
De Gateway ass de RADIUS-Client
Soubal den Tunnelopbau de Punkt erreecht, wou d'Zougangsdaten gepréift musse ginn, gëtt de Gateway en Netzwierkzougangsserver. Et baut eng Access-Request: User-Name, e Passwuert oder EAP-Payload, NAS-IP-Address oder NAS-Identifier, an e Message-Authenticator, wann d'Method een verlaangt. D'Ufro geet standardméisseg op UDP 1812, an d'Comptabilitéit op 1813. Méi al Installatioune benotzen nach 1645 an 1646, dofir erkläert eng Firewallregel fir ee Paar vill stille Feeler.
Déi zwou Säite deelen e Geheimnis, an et ass keng Benotzerzougangsdaten. Et ënnerschreift den Austausch, an all Äntwert gëtt dogéint verifizéiert. Konfiguréiert d'Geheimnis op béide Säiten anescht, an de Server äntwert net mat engem schlechte Geheimnis — et verwërft d'Ufro oder d'Äntwert fällt duerch d'Verifizéierung, sou datt de Gateway eng Zäitüberschreidung mëldet. E falscht Geheimnis an e doudege Server gesi vum Gateway identesch aus, dofir testen ech de Sprong mat engem Client-Werkzeug, ier ech d'Verzeechnes beschëllegeg.
De Protokoll ass kleng an al — RFC 2865 definéiert den Authentifizéierungsaustausch — awer d'Attributer, déi en dréit, sinn d'Basis, op där déi meescht VPN-Politik gebaut ass.
# ask the RADIUS server directly, from the gateway host
radtest alice 'test-password' 127.0.0.1 0 testing123
# watch the exchange the gateway actually sends
tcpdump -ni any -c 20 'udp port 1812'De RADIUS-Server ass vläicht nëmmen d'Front vum Identitéitsprovider
D'Leit schwätzen iwwer RADIUS an den Identitéitsprovider, wéi wann et déiselwecht Këscht wier. Dacks sinn et net. De RADIUS-Server kritt d'Access-Request an freet duerno eppes anescht — Active Directory iwwer LDAP oder Kerberos, eng lokal Benotzerdatei oder en externen Service — ier en äntwert. FreeRADIUS mam LDAP- oder krb5-Modul, Windows NPS a Cisco ISE sti sinn alleguer op dëser Plaz.
Den Ënnerscheed entscheet, wou Dir kuckt. En ofgeleente Passwuert ass eng Äntwert vum Identitéitsprovider, déi RADIUS weidergëtt. Eng Zäitüberschreidung ass meeschtens d'Streck RADIUS-zu-Verzeechnes: en ofgelafene Bind-Kont, en onereechbare Verzeechnes oder eng Ufro, déi op de falsche Backend geleet gouf. Wann de Benotzernumm e Domain-Suffix huet, kann de Server dorobber routen, an dee selwechte Kont als CORP\alice an [email protected] geschéckt kann op verschiddene Plazen ukommen. Op Windows NPS registréiert de Security-Log 6272 fir eng Bewëllegung a 6273 fir eng Oflehnung, wat Iech seet, ob d'Entscheedung iwwerhaapt vum NPS koum.
Liest de Feeler op deem Sprong, deen en produzéiert huet
Eng eenzeg Kann-net-verbannen-Noriicht deckt véier verschidde Feeler of. Ier Dir eppes ännert, passt de Symptom un de Sprong un, deen en produzéiert huet.
| What you see | Where it comes from | First check |
|---|---|---|
| Gateway timeout, no reply | Shared secret mismatch, UDP 1812 blocked, unknown NAS, wrong server address | tcpdump at the gateway; radtest from the gateway host |
| Immediate reject | Credentials, account state, domain suffix, RADIUS policy | NPS 6273 or the FreeRADIUS auth log; test the account directly |
| Repeated challenge or MFA loop | Access-Challenge state not returned, or a token that expired mid-flow | Client prompt timing and the State attribute in debug output |
| Accept, then no access | Authorization attributes unmapped, wrong pool, route or ACL policy | Gateway policy and the attributes in the Access-Accept |
Déi lescht Zeil ass déi, déi d'Leit op dat falscht Team schéckt. Access-Accept heescht, datt d'Zougangsdaten akzeptéiert goufen; et heescht net, datt de Gateway de Benotzer an de richtege Pool gesat oder Ruten gedréckt huet. Gruppenattributer zielen nëmmen, wann d'Gateway-Politik se liest. Ech hu gesinn, wéi eng korrekt Anmeldung an engem Gaaschtpool landt, well d'Gruppemapping op der RADIUS-Säit fir en anert Attribut konfiguréiert war wéi dat, wat de Gateway iwwerpréift.
Verfollegt eng Anmeldung vu Ufank bis Enn
Wielt ee Testkont an ee Gateway, a beobacht dann dee selwechten Versuch op alle véier Punkten. Start eng Debug-Sessioun op der RADIUS-Säit — freeradius -X dréckt d'Ufro an all Modul, dat et beréiert — verfollegt de Gateway-Authentifizéierungslog, a fuert tcpdump fir den UDP-Austausch aus. Verbënnt Iech eng Kéier a liest déi véier Spueren an der Reihenfolleg.
Wat Dir wëllt gesinn, ass Iwwereneestëmmung: de Gateway huet no deem Benotzer gefrot, deen Dir erwaart hutt, de RADIUS-Server huet de Backend gewielt, deen Dir erwaart hutt, dee Backend huet eng Entscheedung zréckginn, an d'Attributer an der Äntwert passe mat der Politik, déi de Gateway uwendt. Déi éischt Plaz, wou d'Spueren net iwwerenee stëmmen, ass Är Feelergrenz. Wann d'Äntwert keen Gruppenattribut dréit, ass de Problem op der RADIUS-Säit, net am VPN-Profil; wann d'Attribut do ass an de Gateway et ignoréiert, ass d'Gateway-Politik de Problem.
Eng Sécherheetsnotiz, wärend Dir do sidd. D'gedeelt Geheimnis schützt den Austausch, awer et verschlësselt déi meescht Attributer net. Wann de Gateway an de RADIUS-Server op verschiddene Segmenter sëtzen, setzt dee Sprong op RADIUS iwwer TLS oder en private Wee. En verschlësselte Benotzertunnel seet näischt iwwer de Backend-Link.
Ier Dir den Ticket zoumaacht, bestätegt véier Saachen. De Gateway kann den RADIUS-Server op deem Port erreechen, fir deen en tatsächlech konfiguréiert ass. D'gedeelt Geheimnis stëmmt op béide Säiten. De RADIUS-Server léist déi genee Form vum Benotzernumm op, déi de Gateway schéckt. D'Accept dréit d'Attributer, déi d'Gateway-Politik brauch. Wann all véier gëllen, ass eng Anmeldung, déi nach ëmmer feelt, e Gateway-Politiksproblem, keen Authentifizéierungsproblem.