Realm tal-Awtentikazzjoni tal-VPN: Liema Spazju ta' Ismijiet tal-Kont Jirbaħ?

Kull login tal-VPN jinżel f'xi spazju ta' ismijiet tal-kont, u r-realm huwa l-għażliet li jiddeċiedi liema. Ma jgħid xejn dwar il-pajjiż, il-post tas-server jew il-livell ta' fiduċja. Żewġ ismijiet tal-utent identiċi jistgħu jgħixu f'realms differenti, u għalhekk password korretta xi drabi tawtentika l-kont ħażin. Dan ir-runbook l-ewwel jiffissa l-forma tal-identità, imbagħad isegwi t-talba sal-sistema li fil-fatt wieġbet.

X'Jagħżel ir-Realm

Gateway jirċievi isem tal-utent u jrid jiddeċiedi fejn jiċċekkjah. Ir-realm huwa l-parti ta' dak l-isem, jew l-attribut ħdejh, li jagħżel id-database: direttorju, pool RADIUS, fajl tal-kont lokali. L-NPS ta' Microsoft isejħilha isem tar-realm u jibgħat it-talbiet tal-konnessjoni biha, filwaqt li l-identifikatur tal-aċċess tan-netwerk EAP iġorr l-istess idea bħala suffiss wara s-sinjal at f'RFC 7542. It-tnejn huma għażliet, u l-ebda wieħed ma jiddeċiedi jekk il-kredenzjali hijiex tajba.

Dan is-separazzjoni jipproduċi żewġ fallimenti ferm differenti. Realm li jibgħat sew b'password ħażina jagħti rifjut wieħed, filwaqt li realm li jibgħat għad-database ħażina jista' jirrifjuta password tajba jew jaċċetta waħda ta' ħaddieħor. L-ebda żball ma jsemmi r-realm, u għalhekk l-ewwel dijanjosi dejjem l-istess: skopri liema sistema wieġbet.

Is-sintassi tar-realm tappartjeni għall-implimentazzjoni. Xi servizzi jridu isem mhux ikkwalifikat flimkien ma' attribut, oħrajn iridu user@domain, u ftit jistennew forma b'backslash li l-biċċa l-kbira tal-gwidi ma jsemmux.

Uża l-Forma li Tistenna l-Backend

Staqsi lill-operatur liema forma għandek tittajpja qabel tipprova suffissi minn tutorial. Isem ikkwalifikat b'dominju li jasal għand backend li jistenna isem sempliċi normalment ifalli fit-tfittxija, mhux fil-verifika tal-password. L-istess isem qasir f'żewġ direttorji huwa l-każ fejn realm nieqes jagħmel l-akbar ħsara.

Tqisx il-kont tal-amministrazzjoni bħala prova. Il-konsola web fejn tamministra s-servizz tista' tawtentika ma' fajl lokali, filwaqt li t-tunnel jiċċekkja direttorju kompletament differenti. Ittestja bil-kredenzjali li jkun juża utent reali, fuq l-interface li jkun juża utent reali. Login tal-konsola li jirnexxi ma jgħid xejn dwar ir-realm li l-gateway japplika għall-awtentikazzjoni tal-VPN.

Il-browsers u l-klijenti tal-posta xi drabi jaħżnu identità preċedenti u jibagħtuha mill-ġdid bil-moħbi. Meta l-isem tal-utent irrappurtat ikun differenti minn dak ittajpjat, dak il-cache huwa l-ewwel post fejn tħares.

Segwi t-Talba mill-Proxy

Fuq front end FreeRADIUS, ir-realms huma ddikjarati fil-konfigurazzjoni tal-proxy, u s-suffiss iddikjarat jiddeċiedi liema home server jirċievi t-talba. Aqra dak il-fajl qabel tibdel xejn, għax talba li ma taqbel ma' ebda realm tiġi ttrattata lokalment b'mod awtomatiku.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep juri liema suffissi jeżistu u liema pool kull wieħed jimmira. Is-sejħa radtest tibgħat isem b'realm u password apposta ħażina, għalhekk rifjut jipprova li kemm ir-routing kif ukoll il-verifika tal-kredenzjali ġrew. Il-linji tal-ġurnal madwar dak l-attentat juru jekk l-isem tneħħiex qabel il-proxy u liema home server ħadu. Jekk il-log ma jurix qbil ta' realm xejn, it-talba qatt ma ħalliet is-server lokali u l-problema hija s-suffiss, mhux il-password.

Ibdel ħaġa waħda kull darba u erġa' għamel l-attentat, għax il-log jifred ir-routing mill-falliment tal-kredenzjali biss meta l-input ikun differenti bejn il-ħidmiet. Żomm is-segretezza komuni barra mill-istorja tas-shell fejn l-għodda tappoġġja l-qari minn fajl jew prompt.

Irreġistra l-Attentat mingħajr ma Tnixxigħu

Ikteb il-falliment f'forma li amministratur jista' jaġixxi fuqha: l-interface, il-forma tal-identità, jekk kienx hemm realm, u l-iżball eżatt mhux sigriet. Żomm l-isem tal-utent ħaj barra r-rapporti pubbliċi u żomm ir-realm ġewwa. L-għoti tal-istess placeholder lil kull identità jaħbi proprju n-nuqqas ta' qbil li qed tfittex. It-timestamp huwa importanti wkoll, għax il-gateway, il-proxy u d-direttorju jżommu logs separati.

Imbagħad iddokumenta l-forma rebbieħa għall-utenti, għax il-persuna li jmiss li tittajpjaha ħażin tiftaħ l-istess ticket. Reset tal-password ma jsewwix talba li tkompli tinżel fl-ispazju tal-ismijiet ħażin. Ir-realm hija deċiżjoni ta' routing, u d-deċiżjonijiet ta' routing jissewwew billi ssemmihom sewwa.