VPN autentifikācijas sfēra: kurš konta vārdvietas variants uzvar?

Katra VPN pieteikšanās nonāk kādā kontu vārdvietā, un sfēra (realm) ir atlasītājs, kas nosaka, kurā. Tā neko nepasaka par valsti, servera atrašanās vietu vai uzticības līmeni. Divi identiski lietotājvārdi var dzīvot dažādās sfērās, tāpēc pareiza parole dažkārt autentificē nepareizo kontu. Šī rokasgrāmata vispirms salabo identitātes formu un pēc tam izseko pieprasījumu līdz sistēmai, kas faktiski atbildēja.

Ko sfēra izvēlas

Vārteja saņem lietotājvārdu un tai jāizlemj, kur to pārbaudīt. Sfēra ir tā vārda daļa vai blakus esošais atribūts, kas izvēlas datubāzi: direktoriju, RADIUS kopu, lokālu kontu failu. Microsoft NPS to sauc par sfēras nosaukumu un ar to maršrutē savienojuma pieprasījumus, bet EAP tīkla piekļuves identifikators to pašu ideju nes kā piedēkli aiz at zīmes RFC 7542 dokumentā. Abi ir atlasītāji, un neviens nenosaka, vai akreditācijas dati ir labi.

Šī atdalīšana rada divas ļoti atšķirīgas neveiksmes. Pareizi maršrutējoša sfēra ar nepareizu paroli dod vienu atteikumu, bet uz nepareizu datubāzi maršrutējoša sfēra var atteikt pareizu paroli vai pieņemt kāda cita paroli. Neviena kļūda nemin sfēru, tāpēc pirmā diagnostika vienmēr ir viena: noskaidrot, kura sistēma atbildēja.

Sfēras sintakse pieder izvietojumam. Daži pakalpojumi grib nekvalificētu nosaukumu plus atribūtu, citi grib user@domain, un daži gaida formu ar apgriezto slīpsvītru, ko lielākā daļa ceļvežu nemin.

Izmantojiet formu, ko gaida aizmugure

Pajautājiet operatoram, kuru formu rakstīt, pirms mēģināt piedēkļus no apmācības. Ar domēnu kvalificēts nosaukums, kas nonāk aizmugurē, kura gaida vienkāršu nosaukumu, parasti neizdodas meklēšanā, nevis paroles pārbaudē. Tas pats īsais nosaukums divās direktorijās ir gadījums, kad trūkstošā sfēra nodara vislielāko ļaunumu.

Neuzskatiet pārvaldības kontu par pierādījumu. Tīmekļa konsole, kurā pārvaldāt pakalpojumu, var autentificēties pret lokālu failu, kamēr tunelis pārbauda pavisam citu direktoriju. Pārbaudiet ar akreditācijas datiem, ko izmantotu īsts lietotājs, saskarnē, ko izmantotu īsts lietotājs. Veiksmīga konsoles pieteikšanās neko nepasaka par sfēru, ko vārteja piemēro VPN autentifikācijai.

Pārlūkprogrammas un pasta klienti dažkārt saglabā iepriekšējo identitāti un klusi to atkārtoti iesniedz. Ja ziņotais lietotājvārds atšķiras no ievadītā, vispirms jāskatās šajā kešatmiņā.

Izsekojiet pieprasījumu caur starpniekserveri

FreeRADIUS priekšgalā sfēras tiek deklarētas starpniekservera konfigurācijā, un deklarētais piedēklis nosaka, kurš mājas serveris saņems pieprasījumu. Izlasiet šo failu pirms kaut kā maiņas, jo pieprasījums, kas neatbilst nevienai sfērai, pēc noklusējuma tiek apstrādāts lokāli.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep parāda, kādi piedēkļi pastāv un uz kuru kopu katrs mērķē. radtest izsaukums nosūta nosaukumu ar sfēru un tīši nepareizu paroli, tāpēc atteikums pierāda, ka notika gan maršrutēšana, gan akreditācijas datu pārbaude. Žurnāla rindas ap šo mēģinājumu parāda, vai nosaukums tika noņemts pirms starpniekservera un kurš mājas serveris to paņēma. Ja žurnāls vispār neparāda sfēras atbilstību, pieprasījums nekad nav atstājis lokālo serveri, un problēma ir piedēklis, ne parole.

Mainiet vienu lietu vienlaikus un atkārtojiet mēģinājumu, jo žurnāls maršrutēšanu no akreditācijas datu neveiksmes atdala tikai tad, ja ievade atšķiras starp palaidēm. Turiet kopīgo noslēpumu ārpus shell vēstures tur, kur rīks atbalsta lasīšanu no faila vai uzvednes.

Reģistrējiet mēģinājumu bez tā noplūdes

Aprakstiet neveiksmi tādā formā, lai administrators varētu rīkoties: saskarne, identitātes forma, vai sfēra bija, un precīzā ne slepenā kļūda. Turiet aktīvo lietotājvārdu ārpus publiskiem ziņojumiem un sfēru iekšpusē. Katras identitātes aizklāšana ar vienu un to pašu vietturi paslēpj tieši to neatbilstību, kuru meklējat. Laikspiedols arī ir svarīgs, jo vārteja, starpniekserveris un direktorija uztur atsevišķus žurnālus.

Pēc tam dokumentējiet lietotājiem uzvarējušo formu, jo nākamais cilvēks, kas to ierakstīs nepareizi, atvērs to pašu biļeti. Paroles atiestatīšana neizlabo pieprasījumu, kas turpina nonākt nepareizajā vārdvietā. Sfēra ir maršrutēšanas lēmums, un maršrutēšanas lēmumi tiek laboti, tos pareizi nosaucot.