Realm Pengesahan VPN: Ruang Nama Akaun Mana yang Menang?

Setiap log masuk VPN mendarat dalam sesuatu ruang nama akaun, dan realm ialah pemilih yang menentukan yang mana. Ia tidak menyatakan apa-apa tentang negara, lokasi pelayan atau tahap kepercayaan. Dua nama pengguna yang serupa boleh wujud dalam realm berbeza, sebab itulah kata laluan yang betul kadangkala mengesahkan akaun yang salah. Buku panduan ini membetulkan bentuk identiti dahulu, kemudian menjejak permintaan sehingga ke sistem yang benar-benar menjawab.

Apa yang Dipilih oleh Realm

Gerbang menerima nama pengguna dan mesti memutuskan di mana untuk memeriksanya. Realm ialah bahagian nama itu, atau atribut di sebelahnya, yang memilih pangkalan data: direktori, kolam RADIUS, fail akaun tempatan. NPS Microsoft memanggilnya nama realm dan menghalakan permintaan sambungan dengannya, manakala pengecam akses rangkaian EAP membawa idea yang sama sebagai akhiran selepas tanda at dalam RFC 7542. Kedua-duanya pemilih, dan tiada satu pun menentukan sama ada kelayakan itu baik.

Pemisahan ini menghasilkan dua kegagalan yang sangat berbeza. Realm yang menghalakan dengan betul dengan kata laluan salah memberi satu penolakan, manakala realm yang menghalakan ke pangkalan data salah boleh menolak kata laluan betul atau menerima kepunyaan orang lain. Tiada ralat menyebut realm, sebab itulah diagnosis pertama sentiasa sama: ketahui sistem mana yang menjawab.

Sintaks realm bergantung pada penggunaan. Sesetengah perkhidmatan mahukan nama tanpa kelayakan serta atribut, yang lain mahukan user@domain, dan sebilangan kecil menjangka bentuk dengan garis condong ke belakang yang tidak disebut oleh kebanyakan panduan.

Gunakan Bentuk yang Dijangka oleh Bahagian Belakang

Tanya pengendali bentuk mana yang perlu ditaip sebelum mencuba akhiran daripada tutorial. Nama berkelayakan domain yang sampai ke bahagian belakang yang menjangka nama biasa biasanya gagal pada carian, bukan pada pemeriksaan kata laluan. Nama pendek yang sama dalam dua direktori ialah kes di mana realm yang tiada menyebabkan paling banyak kerosakan.

Jangan anggap akaun pengurusan sebagai bukti. Konsol web tempat anda mentadbir perkhidmatan mungkin mengesahkan terhadap fail tempatan, manakala terowong memeriksa direktori yang sama sekali berbeza. Uji dengan kelayakan yang akan digunakan oleh pengguna sebenar, pada antara muka yang akan digunakan oleh pengguna sebenar. Log masuk konsol yang berjaya tidak menyatakan apa-apa tentang realm yang digunakan oleh gerbang pada pengesahan VPN.

Pelayar dan klien mel kadangkala menyimpan identiti terdahulu dan menghantarnya semula secara senyap. Apabila nama pengguna yang dilaporkan berbeza daripada yang ditaip, cache itu tempat pertama untuk diperiksa.

Jejak Permintaan Melalui Proksi

Pada bahagian hadapan FreeRADIUS, realm diisytiharkan dalam konfigurasi proksi, dan akhiran yang diisytiharkan menentukan pelayan rumah mana yang menerima permintaan. Baca fail itu sebelum mengubah apa-apa, kerana permintaan yang tidak sepadan dengan mana-mana realm dikendalikan secara tempatan secara lalai.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep menunjukkan akhiran mana yang wujud dan kolam mana yang disasarkan oleh setiap satu. Panggilan radtest menghantar nama dengan realm dan kata laluan yang sengaja salah, jadi penolakan membuktikan kedua-dua penghalaan dan pemeriksaan kelayakan dijalankan. Baris jurnal di sekitar percubaan itu menunjukkan sama ada nama itu dilucutkan sebelum proksi dan pelayan rumah mana yang mengambilnya. Jika log tidak menunjukkan padanan realm langsung, permintaan itu tidak pernah meninggalkan pelayan tempatan dan masalahnya ialah akhiran, bukan kata laluan.

Ubah satu perkara pada satu masa dan ulangi percubaan, kerana log memisahkan penghalaan daripada kegagalan kelayakan hanya apabila input berbeza antara larian. Jauhkan rahsia bersama daripada sejarah shell di tempat alat menyokong pembacaan daripada fail atau gesaan.

Rekod Percubaan Tanpa Membocorkannya

Tulis kegagalan dalam bentuk yang boleh ditindaklanjuti oleh pentadbir: antara muka, bentuk identiti, sama ada realm hadir, dan ralat tepat yang bukan rahsia. Jauhkan nama pengguna langsung daripada laporan awam dan kekalkan realm di dalamnya. Menyunting setiap identiti kepada pemegang tempat yang sama menyembunyikan tepat ketidakpadanan yang anda cari. Cap masa juga penting, kerana gerbang, proksi dan direktori menyimpan log berasingan.

Kemudian dokumentasikan bentuk yang menang untuk pengguna, kerana orang seterusnya yang salah menaipnya akan membuka tiket yang sama. Set semula kata laluan tidak membaiki permintaan yang terus mendarat dalam ruang nama yang salah. Realm ialah keputusan penghalaan, dan keputusan penghalaan dibaiki dengan menamakannya dengan betul.