VPN баталгаажуулалтын домэйн: аль бүртгэлийн нэрийн орон зай ялах вэ?

VPN-ийн нэвтрэлт бүр ямар нэг бүртгэлийн нэрийн орон зайд ордог бөгөөд домэйн (realm) нь аль нэгнийг сонгох сонгогч юм. Тэрээр улс, серверийн байршил эсвэл итгэлийн түвшний талаар юу ч хэлэхгүй. Хоёр ижил хэрэглэгчийн нэр өөр өөр домэйнд оршиж болох тул зөв нууц үг заримдаа буруу бүртгэлийг баталгаажуулдаг. Энэхүү гарын авлага эхлээд таних тэмдгийн хэлбэрийг засч, дараа нь хүсэлтийг үнэхээр хариулсан систем хүртэл мөрддөг.

Домэйн юу сонгодог вэ

Гарц хэрэглэгчийн нэрийг хүлээж авч, хаана шалгахаа шийдэх ёстой. Домэйн нь тэр нэрийн хэсэг буюу хажууд нь байх шинж чанар бөгөөд мэдээллийн санг сонгодог: директор, RADIUS-ийн сан, локал бүртгэлийн файл. Microsoft-ийн NPS үүнийг домэйны нэр гэж нэрлээд холболтын хүсэлтийг түүгээр чиглүүлдэг бол EAP сүлжээний хандалтын танихууль нь мөн адил санааг RFC 7542-т at тэмдгийн дараах дагавар хэлбэрээр агуулдаг. Хоёулаа сонгогч бөгөөд аль нь ч итгэмжлэл сайн эсэхийг шийдэхгүй.

Энэ ялгарал нь хоёр өөр бүтэлгүйтэл үүсгэдэг. Зөв чиглүүлдэг домэйн буруу нууц үгээр нэг татгалзал өгдөг бол буруу мэдээллийн сан руу чиглүүлдэг домэйн зөв нууц үгийг татгалзаж эсвэл өөр хүнийхийг хүлээж авч болно. Аль ч алдаа домэйныг дурдахгүй тул эхний оношлогоо үргэлж ижил: аль систем хариулсныг олж мэдэх.

Домэйны синтакс нь байршуулалтаас хамаарна. Зарим үйлчилгээ чанаршуулаагүй нэр болон шинж чанарыг шаарддаг, бусад нь user@domain-ыг шаарддаг, цөөн нь ихэнх гарын авлага дурдаагүй арын налуу зураастай хэлбэрийг хүлээдэг.

Арын хэсгийн хүлээж буй хэлбэрийг ашиглана уу

Гарын авлагаас дагавруудыг туршихаас өмнө оператороос ямар хэлбэр бичихийг асуугаарай. Энгийн нэрийг хүлээж буй арын хэсэгт хүрсэн домэйн чанаршуулсан нэр нь ихэвчлэн нууц үгийн шалгалтад биш, хайлтад бүтэлгүйтдэг. Хоёр директорт ижил богино нэр байх нь домэйн дутуу үед хамгийн их хохирол учруулах тохиолдол юм.

Удирдлагын бүртгэлийг нотолгоо гэж бүү үз. Үйлчилгээг удирддаг вэб консол нь локал файл руу баталгаажуулж болох бол туннель нь огт өөр директорыг шалгадаг. Жинхэнэ хэрэглэгчийн ашиглах итгэмжлэлээр, жинхэнэ хэрэглэгчийн ашиглах интерфейс дээр туршина уу. Консолд амжилттай нэвтэрсэн нь гарцын VPN баталгаажуулалтад хэрэглэдэг домэйны талаар юу ч хэлэхгүй.

Хөтөч болон шуудангийн клиентууд заримдаа өмнөх таних тэмдгийг кэшлэж, чимээгүйгээр дахин илгээдэг. Мэдээлсэн хэрэглэгчийн нэр бичсэнээс ялгаатай бол эхлээд тэр кэшийг харах хэрэгтэй.

Хүсэлтийг проксигоор дамжуулан мөрдөнө үү

FreeRADIUS-ийн урд хэсэгт домэйнуудыг прокси тохиргоонд зарладаг бөгөөд зарласан дагавар нь аль нэгдлийн сервер хүсэлтийг хүлээж авахыг шийддэг. Ямар нэг зүйлийг өөрчлөхөөс өмнө тэр файлыг уншина уу, учир нь ямар ч домэйнд тохирохгүй хүсэлтийг анхдагчаар локалаар шийдвэрлэдэг.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep нь ямар дагаврууд байгаа, тус бүр аль санд чиглэж байгааг харуулна. radtest дуудлага нь домэйнтэй нэр болон санаатай буруу нууц үгийг илгээдэг тул татгалзал нь чиглүүлэлт болон итгэмжлэлийн шалгалт хоёулаа ажилласныг нотолдог. Тэр оролдлогын эргэн тойрны журналын мөрүүд нэр проксигоос өмнө хасагдсан эсэх, аль нэгдлийн сервер түүнийг авсан эсэхийг харуулна. Хэрэв журналт домэйны тохирол огт харагдахгүй бол хүсэлт локал серверийг орхиогүй бөгөөд асуудал нь нууц үг биш дагавар юм.

Нэг удаад нэг зүйлийг өөрчилж оролдлогыг давтана уу, учир нь журнал нь чиглүүлэлтийг итгэмжлэлийн бүтэлгүйтлээс зөвхөн оруулга гүйлтүүдийн хооронд ялгаатай үед тусгаарладаг. Хуваалцсан нууцыг shell-ийн түүхээс гадуур байлгана уу, хэрэгсэл файл эсвэл асуултаас уншихыг дэмждэг газарт.

Оролдлогыг задруулахгүйгээр тэмдэглэнэ үү

Бүтэлгүйтлийг администраторын арга хэмжээ авах боломжтой хэлбэрээр бичнэ үү: интерфейс, таних тэмдгийн хэлбэр, домэйн байсан эсэх, мөн нарийн нууц бус алдаа. Амьд хэрэглэгчийн нэрийг нийтийн тайлангаас гадуур, домэйныг дотор нь байлгана уу. Бүх таних тэмдгийг ижил орлуулагч болгон нуух нь таны хайж буй зөрүүг яг л нуудаг. Цагийн тэмдэг ч чухал, учир нь гарц, прокси, директор тусдаа журнал хөтөлдөг.

Дараа нь хэрэглэгчдэд ялсан хэлбэрийг баримтжуулна уу, учир нь дараагийн хүн түүнийг буруу бичвэл мөн тэр тасалбарыг нээдэг. Нууц үг шинэчлэх нь буруу нэрийн орон зайд үргэлжлүүлэн буудаг хүсэлтийг засдаггүй. Домэйн бол чиглүүлэлтийн шийдвэр бөгөөд чиглүүлэлтийн шийдвэрийг зөв нэрлэснээр засдаг.