VPN autentifikavimo sritis: kuri paskyrų vardų erdvė laimi?

Kiekvienas VPN prisijungimas patenka į kokią nors paskyrų vardų erdvę, o sritis (realm) yra parinkiklis, kuris nusprendžia, į kurią. Ji nieko nesako apie šalį, serverio vietą ar pasitikėjimo lygį. Du vienodi naudotojų vardai gali gyventi skirtingose srityse, todėl teisingas slaptažodis kartais autentifikuoja neteisingą paskyrą. Šis vadovas pirmiausia sutvarko tapatybės formą, o tada seka užklausą iki sistemos, kuri iš tikrųjų atsakė.

Ką sritis pasirenka

Tarpinė programa gauna naudotojo vardą ir turi nuspręsti, kur jį patikrinti. Sritis yra ta vardo dalis arba šalia esantis atributas, kuris pasirenka duomenų bazę: katalogą, RADIUS telkinį, vietinį paskyrų failą. Microsoft NPS tai vadina srities vardu ir juo maršrutizuoja prisijungimo užklausas, o EAP tinklo prieigos identifikatorius tą pačią idėją neša kaip priesagą po at ženklo RFC 7542 dokumente. Abu yra parinkikliai, ir nė vienas nenusprendžia, ar prisijungimo duomenys geri.

Šis atskyrimas sukuria dvi labai skirtingas nesėkmes. Teisingai maršrutizuojanti sritis su neteisingu slaptažodžiu duoda vieną atmetimą, o į neteisingą duomenų bazę nukreipianti sritis gali atmesti teisingą slaptažodį arba priimti kito žmogaus. Nė viena klaida nemini srities, todėl pirmoji diagnostika visada ta pati: išsiaiškinti, kuri sistema atsakė.

Srities sintaksė priklauso nuo diegimo. Vienos paslaugos nori nekvalifikuoto vardo ir atributo, kitos nori user@domain, o nedaugelis tikisi formos su atbuliniu pasviruoju brūkšniu, kurios dauguma vadovų nemini.

Naudokite formą, kurios tikisi vidinė dalis

Paklauskite operatoriaus, kurią formą rašyti, prieš bandydami priesagas iš pamokos. Domenu kvalifikuotas vardas, pasiekiantis vidinę dalį, kuri tikisi paprasto vardo, paprastai nepavyksta paieškoje, o ne slaptažodžio patikroje. Tas pats trumpas vardas dviejuose kataloguose yra atvejis, kai trūkstama sritis padaro daugiausia žalos.

Nelaikykite administravimo paskyros įrodymu. Žiniatinklio konsolė, kurioje administruojate paslaugą, gali autentifikuoti pagal vietinį failą, o tunelis tikrina visiškai kitą katalogą. Testuokite su duomenimis, kuriuos naudotų tikras naudotojas, sąsajoje, kurią naudotų tikras naudotojas. Sėkmingas prisijungimas prie konsolės nieko nesako apie sritį, kurią tarpinė programa taiko VPN autentifikavimui.

Naršyklės ir pašto klientai kartais išsaugo ankstesnę tapatybę ir tyliai ją pateikia iš naujo. Kai praneštas naudotojo vardas skiriasi nuo įvesto, pirmiausia reikia žiūrėti į tą talpyklą.

Sekite užklausą per tarpinį serverį

FreeRADIUS priekyje srities deklaruojamos tarpinio serverio konfigūracijoje, o deklaruota priesaga nusprendžia, kuris pagrindinis serveris gaus užklausą. Perskaitykite tą failą prieš ką nors keisdami, nes užklausa, neatitinkanti jokios srities, pagal nutylėjimą apdorojama vietoje.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep parodo, kokios priesagos egzistuoja ir į kurį telkinį kiekviena nukreipta. radtest iškvietimas siunčia vardą su sritimi ir tyčia neteisingą slaptažodį, todėl atmetimas įrodo, kad įvyko ir maršrutizavimas, ir prisijungimo duomenų patikra. Žurnalo eilutės aplink tą bandymą parodo, ar vardas buvo pašalintas prieš tarpinį serverį ir kuris pagrindinis serveris jį paėmė. Jei žurnalas visiškai nerodo srities atitikimo, užklausa niekada nepaliko vietinio serverio, o problema yra priesaga, ne slaptažodis.

Keiskite po vieną dalyką ir kartokite bandymą, nes žurnalas maršrutizavimą nuo prisijungimo duomenų nesėkmės atskiria tik tada, kai įvestis skiriasi tarp paleidimų. Laikykite bendrą paslaptį už shell istorijos ribų ten, kur įrankis palaiko skaitymą iš failo ar užklausos.

Užfiksuokite bandymą jo neatskleisdami

Aprašykite nesėkmę tokia forma, kad administratorius galėtų veikti: sąsaja, tapatybės forma, ar buvo sritis, ir tiksli ne slapta klaida. Laikykite veikiantį naudotojo vardą už viešų ataskaitų ribų, o sritį palikite viduje. Kiekvienos tapatybės redagavimas į tą patį žymeklį paslepia būtent tą neatitikimą, kurio ieškote. Laiko žymė taip pat svarbi, nes tarpinė programa, tarpinis serveris ir katalogas tvarko atskirus žurnalus.

Tada dokumentuokite laimėjusią formą naudotojams, nes kitas žmogus, kuris ją įves neteisingai, atsidarys tą patį bilietą. Slaptažodžio atkūrimas nepataiso užklausos, kuri nuolat patenka į neteisingą vardų erdvę. Sritis yra maršrutizavimo sprendimas, o maršrutizavimo sprendimai taisomi juos teisingai pavadinant.