VPN realm provjere autentičnosti: koji prostor naziva računa pobjeđuje?

Svaka VPN prijava završi u nekom prostoru naziva računa, a realm je birač koji odlučuje u kojem. On ne govori ništa o državi, lokaciji poslužitelja ni razini povjerenja. Dva identična korisnička imena mogu živjeti u različitim realmovima, zato ispravna lozinka ponekad autentificira pogrešan račun. Ovaj priručnik najprije uređuje oblik identiteta, a zatim prati zahtjev do sustava koji je stvarno odgovorio.

Što realm odabire

Pristupnik prima korisničko ime i mora odlučiti gdje ga provjeriti. Realm je dio tog imena, ili atribut uz njega, koji odabire bazu: imenik, RADIUS bazen ili lokalnu datoteku računa. Microsoftov NPS to naziva imenom realma i njime usmjerava zahtjeve za povezivanjem, dok EAP mrežni identifikator pristupa nosi istu ideju kao sufiks nakon znaka at u RFC 7542. Oba su birači i nijedan ne odlučuje je li vjerodajnica dobra.

Ta podjela stvara dvije vrlo različite pogreške. Realm koji ispravno usmjerava s pogrešnom lozinkom daje jedno odbijanje, dok realm koji usmjerava na pogrešnu bazu može odbiti ispravnu lozinku ili prihvatiti tuđu. Nijedna pogreška ne spominje realm, zato je prva dijagnoza uvijek ista: saznati koji je sustav odgovorio.

Sintaksa realma pripada instalaciji. Neke usluge žele nekvalificirano ime plus atribut, druge žele user@domain, a rijetke očekuju oblik s obrnutom kosom crtom koji većina vodiča ne spominje.

Koristite oblik koji pozadina očekuje

Pitajte operatera koji oblik upisati prije nego isprobate sufikse iz vodiča. Imenom kvalificirano ime koje stigne do pozadine koja očekuje obično ime obično pada na pretrazi, a ne na provjeri lozinke. Isto kratko ime u dva imenika slučaj je u kojem nedostajući realm čini najviše štete.

Ne uzimajte administrativni račun kao dokaz. Web konzola u kojoj upravljate uslugom može se autentificirati prema lokalnoj datoteci, dok tunel provjerava posve drugi imenik. Testirajte vjerodajnicama koje bi koristio stvarni korisnik, na sučelju koje bi koristio stvarni korisnik. Uspješna prijava u konzolu ne govori ništa o realmu koji pristupnik primjenjuje na VPN autentifikaciju.

Preglednici i poštanski klijenti ponekad predmemoriraju prethodni identitet i tiho ga ponovno pošalju. Kad se prijavljeno korisničko ime razlikuje od upisanoga, tu predmemoriju prvo treba pregledati.

Pratite zahtjev kroz proxy

Na FreeRADIUS sučelju realmovi se deklariraju u proxy konfiguraciji, a deklarirani sufiks odlučuje koji će matični poslužitelj primiti zahtjev. Pročitajte tu datoteku prije promjena jer se zahtjev koji ne odgovara nijednom realmu prema zadanim postavkama obrađuje lokalno.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep pokazuje koji sufiksi postoje i kojem bazenu svaki cilja. Poziv radtest šalje ime s realmom i namjerno pogrešnu lozinku, pa odbijanje dokazuje da su se izvršili i usmjeravanje i provjera vjerodajnice. Linije dnevnika oko tog pokušaja pokazuju je li ime uklonjeno prije proxyja i koji ga je matični poslužitelj preuzeo. Ako dnevnik uopće ne pokazuje podudaranje realma, zahtjev nikad nije napustio lokalni poslužitelj i problem je sufiks, a ne lozinka.

Mijenjajte jednu stvar odjednom i ponovite pokušaj jer dnevnik razdvaja usmjeravanje od pogreške vjerodajnice samo kad se ulaz razlikuje među pokretanjima. Držite zajedničku tajnu izvan povijesti ljuske gdje alat podržava čitanje iz datoteke ili upita.

Zabilježite pokušaj bez curenja

Zapišite pogrešku u obliku na koji administrator može reagirati: sučelje, oblik identiteta, je li realm bio prisutan i točna pogreška koja nije tajna. Držite aktivno korisničko ime izvan javnih izvješća, a realm unutra. Redigiranje svakog identiteta u isti rezervirani izraz skriva upravo nesklad koji tražite. Vremenska oznaka je također važna jer pristupnik, proxy i imenik vode odvojene dnevnike.

Zatim dokumentirajte pobjednički oblik za korisnike jer će sljedeća osoba koja ga pogrešno upiše otvoriti istu prijavu. Ponovno postavljanje lozinke ne popravlja zahtjev koji stalno slijeće u pogrešan prostor naziva. Realm je odluka o usmjeravanju, a odluke o usmjeravanju popravljaju se ispravnim imenovanjem.