Kif id-dħul fil-VPN jasal għal RADIUS u għall-fornitur tal-identità tiegħek
Segwi dħul fil-VPN mill-klijent sad-domanda RADIUS tal-gateway, il-fornitur tal-identità warajha u l-politika applikata wara l-aċċettazzjoni.
Il-ġimgħa li għaddiet utent seta' jidħol fil-VPN u xorta waqaf fuq netwerk fejn xejn ma kien jiġi riżolt. Il-klijent qal konness, il-log tal-gateway qal Access-Accept, u t-tim tal-identità qal li l-kont kien sew. Id-dħul kien ħadem; l-awtorizzazzjoni warajh le. Meta dħul fil-VPN ifalli, immur it-triq li d-domanda fil-fatt tieħu — klijent, gateway, server RADIUS, fornitur tal-identità — u nieqaf fl-ewwel qabża li t-tweġiba tagħha ma taqbilx mal-ġejja.
Il-klijent qatt ma jitkellem RADIUS
Tkun xi tkun l-app fuq il-laptop turi, l-ewwel qabża tagħha hija l-protokoll VPN: IKEv2, OpenVPN, WireGuard jew klijent ibbażat fuq TLS. RADIUS ma jidhirx f'dak l-iskambju. Il-klijent jawtentika ruħu mal-gateway b'ċertifikat, b'isem tal-utent u password, jew b'metodu EAP li jinġarr fis-setup tal-mina.
Dan huwa importanti meta taqra l-logs, għax l-iżball ġeneriku ta' awtentikazzjoni li jara l-utent jipproduċih il-gateway wara li jkun diġà tkellem ma' xi ħaġa oħra. Jekk il-klijent qatt ma jasal għall-gateway, ma jkunx hemm talba RADIUS x'tiddebbaggja, u siegħa fuq is-server RADIUS tintilef. Ikkonferma li l-mina qamet xejn qabel ma tmiss il-backend.
Il-gateway huwa l-klijent RADIUS
Malli s-setup tal-mina jasal għall-punt fejn iridu jiġu vverifikati l-kredenzjali, il-gateway isir server tal-aċċess għan-netwerk. Huwa jibni Access-Request: User-Name, password jew payload EAP, NAS-IP-Address jew NAS-Identifier, u Message-Authenticator meta l-metodu jitlob wieħed. It-talba tmur għal UDP 1812 b'mod awtomatiku, u l-kontabilità għal 1813. Skjeramenti eqdem għadhom jużaw 1645 u 1646, allura regola tal-firewall miktuba għal par wieħed tispjega ħafna fallimenti siekta.
Iż-żewġ naħat jaqsmu sigriet, u mhuwiex kredenzjal tal-utent. Huwa jiffirma l-iskambju, u kull tweġiba tiġi vverifikata kontrih. Ikkonfigura s-sigriet b'mod differenti fuq iż-żewġ naħat u s-server ma jwieġebx b'sigriet ħażin — huwa jwarrab it-talba jew it-tweġiba ma tgħaddix il-verifika, allura l-gateway jirrapporta timeout. Sigriet żbaljat u server mejjet jidhru l-istess mill-gateway, għalhekk nipprova l-qabża b'għodda tal-klijent qabel ma nċanfar id-direttorju.
Il-protokoll huwa żgħir u antik — RFC 2865 jiddefinixxi l-iskambju tal-awtentikazzjoni — iżda l-attributi li jġorr huma l-bażi li fuqha hija mibnija l-biċċa l-kbira tal-politika tal-VPN.
# ask the RADIUS server directly, from the gateway host
radtest alice 'test-password' 127.0.0.1 0 testing123
# watch the exchange the gateway actually sends
tcpdump -ni any -c 20 'udp port 1812'Is-server RADIUS jista' jkun biss il-quddiem tal-fornitur tal-identità
In-nies jitkellmu dwar RADIUS u l-fornitur tal-identità bħallikieku huma l-istess kaxxa. Spiss mhumiex. Is-server RADIUS jirċievi l-Access-Request u mbagħad jistaqsi xi ħaġa oħra — Active Directory permezz ta' LDAP jew Kerberos, fajl tal-utenti lokali jew servizz estern — qabel ma jwieġeb. FreeRADIUS bil-modulu LDAP jew krb5, Windows NPS u Cisco ISE kollha joqogħdu f'din il-pożizzjoni.
Id-distinzjoni tiddeċiedi fejn tħares. Password miċħuda hija tweġiba tal-fornitur tal-identità li RADIUS jgħaddi. Timeout normalment huwa s-segment RADIUS-sa-direttorju: kont bind skadut, direttorju li ma jintlaħaqx, jew talba mibgħuta lill-backend żbaljat. Jekk l-isem tal-utent iġorr suffiss tad-dominju, is-server jista' jirrotta fuqu, u l-istess kont mibgħut bħala CORP\alice u [email protected] jista' jispiċċa f'postijiet differenti. F'Windows NPS, il-log Security jirreġistra 6272 għal għotja u 6273 għal ċaħda, li jgħidlek jekk id-deċiżjoni ġietx mill-NPS.
Aqra l-falliment fil-qabża li pproduċietu
Messaġġ wieħed ta' ma tistax tikkonnettja jkopri erba' fallimenti differenti. Qabel ma tbiddel xi ħaġa, qabbel is-sintomu mal-qabża li pproduċietu.
| What you see | Where it comes from | First check |
|---|---|---|
| Gateway timeout, no reply | Shared secret mismatch, UDP 1812 blocked, unknown NAS, wrong server address | tcpdump at the gateway; radtest from the gateway host |
| Immediate reject | Credentials, account state, domain suffix, RADIUS policy | NPS 6273 or the FreeRADIUS auth log; test the account directly |
| Repeated challenge or MFA loop | Access-Challenge state not returned, or a token that expired mid-flow | Client prompt timing and the State attribute in debug output |
| Accept, then no access | Authorization attributes unmapped, wrong pool, route or ACL policy | Gateway policy and the attributes in the Access-Accept |
L-aħħar ringiela hija dik li tibgħat lin-nies lit-tim żbaljat. Access-Accept ifisser li l-kredenzjali ġew aċċettati; ma jfissirx li l-gateway poġġa lill-utent fil-pool it-tajjeb jew imbotta rotot. L-attributi tal-grupp jgħoddu biss jekk il-politika tal-gateway taqrahom. Rajt dħul korrett jaqa' fi pool tal-mistiedna għax il-mapping tal-gruppi kien ikkonfigurat fuq in-naħa RADIUS għal attribut differenti minn dak li jispezzjona l-gateway.
Segwi dħul wieħed mill-bidu sat-tmiem
Agħżel kont tat-test wieħed u gateway wieħed, imbagħad osserva l-istess tentattiv fl-erba' punti. Ibda tmexxija ta' debug fuq in-naħa RADIUS — freeradius -X jipprintja t-talba u kull modulu li jmiss — segwi l-log tal-awtentikazzjoni tal-gateway, u ħaddem tcpdump għall-iskambju UDP. Ikkonnettja darba u aqra l-erba' traċċi fl-ordni.
Dak li trid tara huwa qbil: il-gateway staqsa dwar l-utent li kont qed tistenna, is-server RADIUS għażel il-backend li kont qed tistenna, dak il-backend irritorna deċiżjoni, u l-attributi fit-tweġiba jaqblu mal-politika li tapplika l-gateway. L-ewwel post fejn it-traċċi ma jaqblux hija l-linja tal-ħsara tiegħek. Jekk it-tweġiba ma ġġorrx attribut tal-grupp, il-problema hija fuq in-naħa RADIUS, mhux fil-profil tal-VPN; jekk l-attribut hemm u l-gateway jinjorah, il-politika tal-gateway hija l-problema.
Nota tas-sigurtà waqt li tkun hemm. Is-sigriet maqsum jipproteġi l-iskambju, iżda ma jikkriptax il-biċċa l-kbira tal-attributi. Jekk il-gateway u s-server RADIUS huma fuq segmenti differenti, poġġi dik il-qabża fuq RADIUS permezz ta' TLS jew triq privata. Mina tal-utent ikkriptata ma tgħid xejn dwar il-link tal-backend.
Qabel ma tagħlaq it-ticket, ikkonferma erba' affarijiet. Il-gateway jista' jasal għas-server RADIUS fuq il-port li huwa fil-fatt ikkonfigurat għalih. Is-sigriet maqsum jaqbel fuq iż-żewġ naħat. Is-server RADIUS issolvi l-forma eżatta tal-isem tal-utent li jibgħat il-gateway. L-aċċettazzjoni ġġorr l-attributi li l-politika tal-gateway teħtieġ. Meta l-erbgħa jżommu, dħul li għadu jfalli huwa problema tal-politika tal-gateway, mhux tal-awtentikazzjoni.