VPN-autentiseringsrike: kva kontonamnerom vinn?

Kvar VPN-innlogging hamnar i eit eller anna kontonamnerom, og riket er veljaren som avgjer kva. Det seier ingenting om landet, serverplasseringa eller tillitsnivået. To identiske brukarnamn kan leva i ulike rike, og difor autentiserer eit rett passord stundom feil konto. Denne runboka festar fyrst identitetsforma, og sporar deretter førespurnaden til systemet som faktisk svara.

Kva riket vel

Ein gateway tek imot eit brukarnamn og må avgjere kvar det skal sjekkast. Riket er den delen av namnet, eller attributtet ved sida av det, som vel databasen: ein katalog, ein RADIUS-pool, ei lokal kontofil. NPS-en til Microsoft kallar dette eit rikenamn og ruter tilkoplingsførespurnader med det, medan EAP-nettverkstilgangsidentifikatoren ber den same ideen som eit suffiks etter at-teiknet i RFC 7542. Begge er veljarar, og ingen av dei avgjer om legitimasjonen er god.

Denne separatinga gjev to svært ulike feil. Eit rike som ruter rett med feil passord gjev éi avvising, medan eit rike som ruter til feil database kan avvise eit rett passord eller godta nokon andre sitt. Ingen av feila nemner riket, og difor er den fyrste diagnosen alltid den same: finne ut kva system som svara.

Syntaksen til riket høyrer til utrullinga. Nokre tenester vil ha eit ukvalifisert namn pluss eit attributt, andre vil ha user@domain, og nokre få ventar ei form med omvend skråstrek som dei fleste rettleiarane ikkje nemner.

Bruk forma backend ventar

Spør operatøren kva form som skal skrivast før du prøver suffiks frå ein rettleiar. Eit domenekvalifisert namn som når ein backend som ventar eit enkelt namn, feilar vanlegvis i oppslaget, ikkje i passordkontrollen. Det same korte namnet i to katalogar er tilfellet der eit manglande rike gjer mest skade.

Ikkje behandla administrasjonskontoen som prov. Nettkonsollen der du administrerer tenesta kan autentisere mot ei lokal fil, medan tunnelen sjekkar ein heilt annan katalog. Test med legitimasjonen ein verkeleg brukar ville brukt, i grensesnittet ein verkeleg brukar ville brukt. Ei vellykka konsollinnlogging seier ingenting om riket gatewayen brukar for VPN-autentisering.

Nettlesarar og e-postklientar hurtiglagrar stundom ein tidlegare identitet og sender han inn att i det stille. Når det rapporterte brukarnamnet avvik frå det som vart skrive, er den hurtiglagringa den fyrste staden å sjå.

Spor førespurnaden gjennom proxyen

På ein FreeRADIUS-front er rike deklarerte i proxy-konfigurasjonen, og det deklarerte suffikset avgjer kva heimeserver som tek imot førespurnaden. Les den fila før du endrar noko, fordi ein førespurnad som ikkje passar noko rike, vert handsama lokalt som standard.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep syner kva suffiks som finst og kva pool kvart av dei peikar på. radtest-kallet sender eit namn med eit rike og eit medvite feil passord, so ei avvising provar at både rutinga og legitimasjonskontrollen køyrde. Logglinjene rundt det forsøket syner om namnet vart strippa før proxyen og kva heimeserver som tok det. Viss loggen ikkje syner noka rikesamsvar i det heile, forlét førespurnaden aldri den lokale serveren, og problemet er suffikset, ikkje passordet.

Endra éin ting om gongen og gjer forsøket på nytt, fordi loggen berre skil ruting frå legitimasjonsfeil når inndata er ulik mellom køyringane. Hald den delte løyndomen utanfor skallhistorikken der verktøyet støttar lesing frå fil eller ledetekst.

Registrer forsøket utan å leke det

Skriv feilen i ei form ein administrator kan handle på: grensesnittet, identitetsforma, om eit rike var til stades, og den nøyaktige ikkje-løyndomsfeilen. Hald det aktive brukarnamnet utanfor offentlege rapportar og riket innanfor. Å sladda kvar identitet til same plasshaldar skjuler nettopp avviket du leitar etter. Tidsstempelet tel òg, sidan gatewayen, proxyen og katalogen fører separate loggar.

Dokumenter deretter den vinnande forma for brukarar, fordi neste person som skriv ho feil, opnar same saka. Ei passordtilbakestilling rettar ikkje ein førespurnad som held fram med å lande i feil namnerom. Riket er ei rutingavgjerd, og rutingavgjerder vert retta ved å namngje dei rett.