VPN автентикациски домен: кој простор на имиња на сметки победува?

Секое VPN најавување слетува во некој простор на имиња на сметки, а доменот (realm) е избирачот што одлучува во кој. Тој не кажува ништо за земјата, локацијата на серверот или нивото на доверба. Две исти кориснички имиња можат да живеат во различни домени, затоа точната лозинка понекогаш автентицира погрешна сметка. Овој прирачник најпрво ја уредува формата на идентитетот, потоа го следи барањето до системот што навистина одговорил.

Што избира доменот

Гејтвејот прима корисничко име и мора да одлучи каде да го провери. Доменот е делот од тоа име, или атрибутот до него, што ја избира базата: директориум, RADIUS базен, локална датотека со сметки. NPS на Microsoft го нарекува ова име на домен и со него ги насочува барањата за поврзување, додека EAP идентификаторот за мрежен пристап ја носи истата идеја како наставка по знакот at во RFC 7542. Двата се избирачи и ниту еден не одлучува дали податоците за пристап се добри.

Ова разделување создава два многу различни неуспеси. Доменот што насочува правилно со погрешна лозинка дава едно одбивање, додека доменот што насочува кон погрешна база може да одбие точна лозинка или да прифати туѓа. Ниту една грешка не го спомнува доменот, затоа првата дијагноза е секогаш иста: откриј кој систем одговорил.

Синтаксата на доменот му припаѓа на распоредувањето. Некои услуги сакаат неквалификувано име плус атрибут, други сакаат user@domain, а малкумина очекуваат форма со обратна коса црта што повеќето водичи не ја спомнуваат.

Користете ја формата што ја очекува задниот дел

Прашајте го операторот која форма да ја внесете пред да пробате наставки од упатство. Името квалификувано со домен што стигнува до заднина што очекува едноставно име обично не успева при пребарувањето, а не при проверката на лозинката. Истото кратко име во два директориуми е случајот кога доменот што недостига прави најголема штета.

Не сметајте ја административната сметка за доказ. Веб-конзолата во која ја администрирате услугата може да се автентицира кон локална датотека, додека тунелот проверува сосема друг директориум. Тестирајте со податоците што би ги користел вистински корисник, на интерфејсот што би го користел вистински корисник. Успешната најава во конзолата не кажува ништо за доменот што гејтвејот го применува на VPN автентикацијата.

Прелистувачите и клиентите за пошта понекогаш кешираат претходен идентитет и тивко го поднесуваат повторно. Кога пријавеното корисничко име се разликува од внесеното, тој кеш е првото место што треба да се погледне.

Следете го барањето низ проксито

На FreeRADIUS предниот дел, домените се декларираат во конфигурацијата на проксито, а декларираната наставка одлучува кој домашен сервер ќе го прими барањето. Прочитајте ја таа датотека пред да смените нешто, бидејќи барањето што не одговара на ниту еден домен по стандард се обработува локално.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep покажува кои наставки постојат и кон кој базен секоја цели. Повикот radtest испраќа име со домен и намерно погрешна лозинка, така што одбивањето докажува дека се извршиле и насочувањето и проверката на податоците. Журналните линии околу тој обид покажуваат дали името е отстрането пред проксито и кој домашен сервер го примил. Ако журналот воопшто не покажува совпаѓање на домен, барањето никогаш не го напуштило локалниот сервер и проблемот е наставката, а не лозинката.

Менувајте едно нешто истовремено и повторете го обидот, бидејќи журналот го одвојува насочувањето од неуспехот на податоците само кога влезот се разликува меѓу извршувањата. Држете ја заедничката тајна надвор од историјата на shell онаму каде алатката поддржува читање од датотека или барање.

Забележете го обидот без да го изложите

Запишете го неуспехот во форма на која администраторот може да дејствува: интерфејсот, формата на идентитетот, дали имаше домен и точната грешка што не е тајна. Држете го активниот корисничко име надвор од јавните извештаи, а доменот внатре. Редактирањето на секој идентитет во ист резервиран збор го крие токму несовпаѓањето што го барате. Временската ознака е исто така важна, бидејќи гејтвејот, проксито и директориумот водат одделни журнали.

Потоа документирајте ја победничката форма за корисниците, бидејќи следниот човек што ќе ја напише погрешно ќе го отвори истиот тикет. Ресетирањето лозинка не поправа барање што продолжува да слетува во погрешниот простор на имиња. Доменот е одлука за насочување, а одлуките за насочување се поправаат со правилно именување.