RADIUS Access-Challenge नंतर VPN लॉगिन अडकते

तुमचा पासवर्ड बरोबर आहे, तरीही VPN लॉगिन अयशस्वी होते, आणि RADIUS सर्व्हरने सांगितलेले तंतोतंत केले असेल. गेटवेने कदाचित Access-Challenge घेतले, काही उपयुक्त दाखवले नाही आणि नंतर वेळ संपला किंवा त्या उत्तराला नकार मानले. क्लायंटच्या बाजूने हे चुकीची ओळखपत्रे किंवा तुटलेली बोगदा असे दिसते. कारण सहसा अशा संभाषणाच्या मध्यभागी असते जे कोणीही टिपले नाही.

एक लॉगिन, दोन RADIUS देवाणघेवाणी

जेव्हा बॅकएंडला दुसरा घटक हवा असतो, तेव्हा तो पहिल्या विनंतीला स्वीकार किंवा नकार देऊन उत्तर देत नाही. तो कोड 11 ने उत्तर देतो आणि वापरकर्त्याच्या पुढील प्रतिसादाची वाट पाहतो, जो गेटवेने पुढील विनंतीत परत पाठवायचा असतो. ती पुढील विनंती त्याच प्रमाणीकरण संभाषणाची आहे, नवीन लॉगिन प्रयत्नाची नाही.

कार्यरत व्यवस्थेत वापरकर्त्याला दुसरी सूचना दिसते: आधी पासवर्ड, नंतर एकदाच वापरला जाणारा कोड, किंवा ऑपरेटरने दस्तऐवजीकरण केले असेल तर एकच एकत्रित सूचना. तुटलेल्या व्यवस्थेत दुसरी सूचना कधीच येत नाही आणि लॉगिन फक्त अयशस्वी होते.

हेच लक्षण पाठपुरावा करायचे आहे, आणि केवळ क्लायंटच्या बाजूने त्याची पुष्टी करणे सोपे आहे: जर VPN क्लायंटने नेमके एकच रहस्य मागितले आणि नंतर तुम्हाला माहीत असलेला वैध पासवर्ड नाकारला, तर देवाणघेवाण आव्हानावरच संपली असण्याची शक्यता आहे.

आव्हान प्रत्यक्षात काय वाहते

RADIUS तपशील कलम 4.4 मध्ये कोड 11 चे वर्णन करतो आणि येथे महत्त्वाच्या दोन गुणधर्मांना परवानगी देतो. Reply-Message वापरकर्त्यासाठीचा मजकूर ठेवतो, आणि State एक अस्पष्ट मूल्य ठेवतो जे सर्व्हरला परत हवे असते. NAS ने State चा अर्थ लावू नये, फक्त तो बदल न करता परत द्यावा.

पुढील विनंती नवीन Identifier आणि नवीन Request Authenticator वापरते, आणि तिने तेच State मूल्य तसेच वापरकर्त्याचा प्रतिसाद वाहून न्यायला हवा. सर्व्हर तिला त्याच State द्वारे प्रतीक्षेत असलेल्या आव्हानाशी जुळवतो, म्हणूनच गुणधर्म पुन्हा तयार करणारा किंवा सोडून देणारा गेटवे हा विधी पूर्ण करू शकत नाही. प्रत्येक उत्तरातील response authenticator देखील वैध ठरायला हवा, अन्यथा NAS ने पॅकेट टाकून द्यावे.

कलम 4.4 ती तपशील जोडते जी बहुतेक शांत अपयशे समजावते: जे NAS आव्हानांना आधार देऊ शकत नाही ते Access-Challenge ला नकार मानते. जर तुमच्या गेटवेची VPN सेवा त्या आधारापेक्षा जुनी असेल किंवा तो वगळत असेल, तर बॅकएंडची दुसऱ्या घटकाची विनंती कोणत्याही सूचनेशिवाय तात्काळ «प्रमाणीकरण अयशस्वी» होते.

साखळीबद्ध विनंती कुठे हरवते

पहिला संशयित ओळखपत्रे नाहीत, सूचनेचा मार्ग आहे. वेब लॉगिनसाठी OTP क्षेत्र दाखवणारे पोर्टल VPN सेवेसाठी ते आपोआप करत नाही, आणि काही गेटवे केवळ क्षमता जाहीर करणाऱ्या क्लायंटना आव्हान पुढे देतात. तेच खाते दोन्ही प्रवेशबिंदूंवर तपासा; जर पोर्टल चालत असेल आणि VPN नाही, तर तुम्ही हस्तांतरण पाहत आहात, टोकन नाही.

इनपुट स्वरूप दुसरा संशयित आहे. विक्रेत्याच्या दस्तऐवजीकृत विभाजकाशिवाय पासवर्ड आणि कोड जोडणे, किंवा साठवलेल्या ओळखपत्रांना जुना कोड पुन्हा चालवू देणे, चुकीच्या पासवर्डसारखेच दिसणाऱ्या पद्धतीने अयशस्वी होते. ऑपरेटरने दस्तऐवजीकृत केलेली स्वतंत्र सूचना किंवा एकत्रित स्वरूप वापरा, आणि स्वतः विभाजक कधीही तयार करू नका.

आवृत्ती-विशिष्ट दोष असतात, पण वर्षांपूर्वी दुरुस्त केलेल्या आवृत्त्यांची यादी आजच्या तैनातीसाठी निदान नाही. तुम्ही प्रत्यक्षात चालवत असलेल्या सॉफ्टवेअरच्या प्रकाशन टिपा वाचा, आणि निरीक्षण केलेला देवाणघेवाणीचा टप्पा तुमचा पुरावा म्हणून ठेवा.

एका प्रयत्नाचा सुरुवातीपासून शेवटपर्यंत मागोवा घ्या

सर्व्हर-साइड डीबगिंग सुरू ठेवून एकदा पुनरुत्पादन करा, आणि इतर प्रत्येक सत्र कॅप्चर विंडोबाहेर ठेवा:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

आउटपुटमध्ये एका ओळीऐवजी संभाषणाचा आकार शोधा. Identifier 3 सह पहिली Access-Request, State वाहणारी Access-Challenge, नंतर ते State पुनरावृत्त करणारी आणि वापरकर्त्याचा प्रतिसाद समाविष्ट करणारी Identifier 4 सह दुसरी Access-Request. जर दुसरी विनंती नाही, तर गेटवेने कधीच पाठपुरावा केला नाही. जर ती State शिवाय आली, तर सर्व्हर तिला प्रतीक्षेत असलेल्या आव्हानाशी जुळवू शकत नाही आणि सहसा नकार देतो.

ट्रेस सामायिक करताना ओळखपत्रे, टोकन आणि अनावश्यक ओळख डेटा लपवा, आणि अनेक ब्राउझर टॅबमधील पुनर्प्रयत्न मिसळण्याऐवजी एका प्रयत्नातील घटना परस्परसंबंधित करा. टाइमस्टॅम्प येथे तुमचे मित्र आहेत; क्लायंटने हार मानल्यानंतर येणारे आव्हान वापरकर्त्याला नकार आणि लॉगमध्ये संथ उत्तर वाटते.

तुम्हाला हवी असलेली अंतिम स्थिती म्हणजे पूर्ण झालेले, अधिकृत संभाषण आणि त्यानंतरचा इच्छित सेवा प्रवेश. RADIUS सर्व्हरकडून येणारे उत्तर त्यापेक्षा खूपच कमी सिद्ध करते.