RADIUS Access-Challenge-ийн дараа VPN нэвтрэлт гацдаг

Таны нууц үг зөв, гэтэл VPN нэвтрэлт бүтэлгүйтэж байна, RADIUS сервер татсан зааврыг яг биелүүлсэн байж магадгүй. Гарц Access-Challenge хүлээн авч, ямар ч хэрэгтэй зүйл харуулаагүй, дараа нь хугацаа дууссан эсвэл тэр хариуг татгалзал гэж үзсэн байх. Клиентийн талаас энэ нь буруу нэвтрэх мэдээлэл эсвэл эвдэрсэн туннель мэт харагдана. Шалтгаан нь ихэвчлэн хэн ч бичээгүй ярианы дунд байдаг.

Нэг нэвтрэлт, хоёр RADIUS солилцоо

Арын систем хоёр дахь хүчин зүйл шаардах үед эхний хүсэлтэд зөвшөөрөл эсвэл татгалзалаар хариулдаггүй. 11 кодоор хариулж, хэрэглэгчийн дараагийн хариуг хүлээдэг бөгөөд гарц түүнийг үргэлжлэх хүсэлтэд буцааж илгээх ёстой. Тэр үргэлжлэх хүсэлт нь ижил баталгаажуулалтын ярианд хамаарах бөгөөд шинэ нэвтрэх оролдлогынх биш.

Ажиллаж буй тохиргоонд хэрэглэгч хоёр дахь асуултыг хардаг: эхлээд нууц үг, дараа нь нэг удаагийн код, эсвэл оператор баримтжуулсан бол нэг нэгдсэн асуулт. Эвдэрсэн тохиргоонд хоёр дахь асуулт хэзээ ч гарч ирэхгүй, нэвтрэлт зүгээр л бүтэлгүйтдэг.

Энэ бол мөрдөх шинж тэмдэг бөгөөд зөвхөн клиентийн талаас баталгаажуулахад хялбар: хэрэв VPN клиент яг нэг нууц асууж, дараа нь хүчинтэй гэж мэдэх нууц үгийг татгалзвал солилцоо сорилт дээр дууссан байх магадлалтай.

Сорилт үнэндээ юу дамжуулдаг вэ

RADIUS тодорхойлолт 11 кодыг 4.4 хэсэгт тайлбарлаж, энд чухал хоёр шинж чанарыг зөвшөөрдөг. Reply-Message нь хэрэглэгчид зориулсан текстийг хадгалж, State нь сервер буцааж авахыг хүсдэг тунгалаг бус утгыг хадгална. NAS нь State-ийг тайлбарлах ёсгүй, зөвхөн өөрчлөлтгүй буцаах ёстой.

Үргэлжлэх хүсэлт шинэ Identifier болон шинэ Request Authenticator ашиглаж, ижил State утга болон хэрэглэгчийн хариуг дамжуулах ёстой. Сервер түүнийг тэр State-ээр дамжуулан хүлээгдэж буй сорилттой тааруулдаг, иймээс шинж чанарыг дахин үүсгэх эсвэл хаях гарц энэ ёслолыг гүйцээж чадахгүй. Мөн хариу бүрийн response authenticator баталгаажих ёстой, эс бөгөөс NAS пакетыг хаях ёстой.

4.4 хэсэг нь ихэнх чимээгүй алдааг тайлбарладаг нарийн ширийг нэмдэг: сорилтыг дэмжиж чадахгүй NAS Access-Challenge-ийг татгалзал гэж үздэг. Хэрэв таны гарцын VPN үйлчилгээ тэр дэмжлэгээс хуучны эсвэл түүнийг орхигдуулсан бол арын системийн хоёр дахь хүчин зүйлийн хүсэлт ямар ч асуултгүйгээр шууд «баталгаажуулалт амжилтгүй» болдог.

Гинжилсэн хүсэлт хаана алдагддаг вэ

Эхний сэжигтэн нь нэвтрэх мэдээлэл биш, асуултын зам. Веб нэвтрэлтэд OTP талбар харуулдаг портал VPN үйлчилгээнд үүнийг автоматаар хийдэггүй, зарим гарц сорилтыг зөвхөн энэ чадвараа зарласан клиентүүдэд дамжуулдаг. Ижил бүртгэлийг хоёр нэвтрэх цэг дээр туршаад үзээрэй; портал ажиллаж, VPN ажиллахгүй бол та дамжуулалтыг харж байна, токеныг биш.

Оруулах формат нь хоёр дахь сэжигтэн. Нийлүүлэгчийн баримтжуулсан тусгаарлагчгүйгээр нууц үг, кодыг нийлүүлэх, эсвэл хадгалагдсан мэдээлэл хуучин кодыг дахин тоглуулахыг зөвшөөрөх нь буруу нууц үгтэй яг ижил харагдах алдаа болдог. Операторын баримтжуулсан тусдаа асуулт эсвэл нэгдсэн форматыг ашигла, хэзээ ч өөрөө тусгаарлагч зохиож болохгүй.

Хувилбараас хамаарах алдаа байдаг ч олон жилийн өмнө зассан хувилбаруудын жагсаалт өнөөдрийн байршуулалтын онош биш. Таны үнэхээр ажиллуулж буй программын хувилбарын тэмдэглэлийг уншиж, ажигласан солилцооны үе шатыг нотолгоо болгон хадгал.

Нэг оролдлогыг эхнээс нь дуустал мөрдөөрэй

Серверийн талын дибагг асаалттайгаар нэг удаа дахин үүсгэж, бусад бүх сессийг бичлэгийн цонхноос гадуур байлга:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

Гаралт дээр нэг мөр биш, ярианы хэлбэрийг хай. Identifier 3-тай эхний Access-Request, State дамжуулсан Access-Challenge, дараа нь тэр State-ийг давтаж, хэрэглэгчийн хариуг агуулсан Identifier 4-тэй хоёр дахь Access-Request. Хоёр дахь хүсэлт байхгүй бол гарц хэзээ ч үргэлжлүүлээгүй. Хэрэв Stateгүй ирвэл сервер түүнийг хүлээгдэж буй сорилттой тааруулж чадахгүй бөгөөд ихэвчлэн татгалздаг.

Тракийг хуваалцахдаа нэвтрэх мэдээлэл, токен болон шаардлагагүй хувь хүний мэдээллийг нууж, олон браузерын табын давталтыг холихын оронд нэг оролдлогын үйл явдлуудыг холбоорой. Энд цагийн тэмдэглэгээ таны найз; клиент бууж өгсний дараа ирэх сорилт хэрэглэгчид татгалзал, бүртгэлд удаан хариу мэт харагдана.

Таны хүсэж буй эцсийн байдал бол дууссан, зөвшөөрөгдсөн яриа, дараа нь зориудын үйлчилгээний хандалт юм. RADIUS серверээс ирсэн хариу үүнээс хамаагүй бага зүйг нотолдог.