VPN පිවිසුම RADIUS සහ ඔබේ අනන්‍යතා සපයන්නා වෙත ළඟා වන්නේ කෙසේද
VPN පිවිසුමක් සේවාදායකයේ සිට ගේට්වේයේ RADIUS ඉල්ලීම, ඊට පිටුපස ඇති අනන්‍යතා සපයන්නා සහ පිළිගැනීමෙන් පසු යෙදෙන ප්‍රතිපත්තිය දක්වා අනුගමනය කරන්න.
පසුගිය සතියේ පරිශීලකයෙකුට VPN වෙත පිවිසීමට හැකි වූ නමුත් කිසිවක් විසඳා නොගත් ජාලයකට ගොඩ බැස්සේය. සේවාදායකය පැවසුවේ සම්බන්ධයි, ගේට්වේ ලොගය පැවසුවේ Access-Accept, සහ අනන්‍යතා කණ්ඩායම පැවසුවේ ගිණුම හරි බවයි. පිවිසුම වැඩ කර තිබුණි; ඊට පිටුපස ඇති අවසරය නොවීය. VPN පිවිසුමක් අසාර්ථක වූ විට, ඉල්ලීම සැබවින්ම ගමන් කරන මාර්ගය මම ගමන් කරමි — සේවාදායකය, ගේට්වේ, RADIUS සේවාදායකය, අනන්‍යතා සපයන්නා — සහ පිළිතුර ඊළඟ එක සමඟ නොගැලපෙන පළමු පියවරේදී නතර වෙමි.
සේවාදායකය කිසි විටෙක RADIUS කතා නොකරයි
ලැප්ටොප් එකේ යෙදුම කුමක් පෙන්වුවත්, එහි පළමු පියවර VPN ප්‍රොටෝකෝලයයි: IKEv2, OpenVPN, WireGuard හෝ TLS පාදක සේවාදායකය. RADIUS එම හුවමාරුවේ නොපෙනේ. සේවාදායකය ගේට්වේ වෙත සහතිකයක්, පරිශීලක නාමයක් සහ මුරපදයක්, හෝ ටනල් සැකසුම තුළ ගෙන යන EAP ක්‍රමයක් මගින් සත්‍යාපනය කරයි.
ලොග් කියවන විට එය වැදගත් වේ, මන්ද පරිශීලකයා දකින සාමාන්‍ය සත්‍යාපන දෝෂය ගේට්වේ විසින් වෙනත් දෙයක් සමඟ කතා කළ පසුව නිපදවන බැවිනි. සේවාදායකය කිසි විටෙක ගේට්වේ වෙත නොළඟා වුවහොත්, නිදොස් කිරීමට RADIUS ඉල්ලීමක් නොමැත, සහ RADIUS සේවාදායකයේ ගත කළ පැයක් නිෂ්ඵල වේ. පසුපසට ස්පර්ශ කිරීමට පෙර ටනලය ඇත්තෙන්ම ඉහළ ගියේදැයි තහවුරු කරන්න.
ගේට්වේ යනු RADIUS සේවාදායකයයි
ටනල් සැකසුම අක්තපත්‍ර පරීක්ෂා කළ යුතු ස්ථානයට ළඟා වූ විට, ගේට්වේ ජාල ප්‍රවේශ සේවාදායකයක් බවට පත් වේ. එය Access-Request එකක් ගොඩනඟයි: User-Name, මුරපදයක් හෝ EAP ගෙවුමක්, NAS-IP-Address හෝ NAS-Identifier, සහ ක්‍රමය ඉල්ලා සිටින විට Message-Authenticator. ඉල්ලීම පෙරනිමියෙන් UDP 1812 වෙතත්, ගිණුම්කරණය 1813 වෙතත් යයි. පැරණි ස්ථාපන තවමත් 1645 සහ 1646 භාවිතා කරයි, එබැවින් එක් යුගලයක් සඳහා ලියූ ගිනිපවුරු නියමයක් බොහෝ නිහඬ අසාර්ථකතා පැහැදිලි කරයි.
දෙපැත්තම රහසක් බෙදා ගනී, එය පරිශීලක අක්තපත්‍රයක් නොවේ. එය හුවමාරුව අත්සන් කරයි, සහ සෑම පිළිතුරක්ම එයට එරෙහිව සත්‍යාපනය කෙරේ. දෙපැත්තේම රහස වෙනස් ලෙස වින්‍යාස කරන්න, එවිට සේවාදායකය නරක රහසක් ලෙසින් පිළිතුරු නොදෙයි — එය ඉල්ලීම ඉවතට දමයි හෝ පිළිතුර සත්‍යාපනයේ අසාර්ථක වේ, එබැවින් ගේට්වේ කාලය ඉකුත් වූ බව වාර්තා කරයි. වැරදි රහසක් සහ මළ සේවාදායකයක් ගේට්වේ සිට එකම ලෙස පෙනේ, එබැවින් නාමාවලියට දොස් පැවරීමට පෙර මම සේවාදායක මෙවලමකින් පියවර පරීක්ෂා කරමි.
ප්‍රොටෝකෝලය කුඩා හා පැරණි ය — RFC 2865 සත්‍යාපන හුවමාරුව නිර්වචනය කරයි — නමුත් එය ගෙන යන ගුණාංග බොහෝ VPN ප්‍රතිපත්තිය ගොඩනගා ඇති පදනමයි.
# ask the RADIUS server directly, from the gateway host
radtest alice 'test-password' 127.0.0.1 0 testing123
# watch the exchange the gateway actually sends
tcpdump -ni any -c 20 'udp port 1812'RADIUS සේවාදායකය අනන්‍යතා සපයන්නාගේ ඉදිරිපස පමණක් විය හැක
මිනිසුන් RADIUS සහ අනන්‍යතා සපයන්නා එකම පෙට්ටියක් මෙන් කතා කරයි. බොහෝ විට එසේ නොවේ. RADIUS සේවාදායකය Access-Request ලබාගෙන පසුව පිළිතුරු දීමට පෙර වෙනත් දෙයකින් අසයි — LDAP හෝ Kerberos හරහා Active Directory, දේශීය පරිශීලක ගොනුවක් හෝ බාහිර සේවාවක්. LDAP හෝ krb5 මොඩියුලය සහිත FreeRADIUS, Windows NPS සහ Cisco ISE සියල්ලම මෙම ස්ථානයේ සිටී.
මෙම වෙනස ඔබ බලන තැන තීරණය කරයි. ප්‍රතික්ෂේප කළ මුරපදයක් යනු RADIUS ඉදිරියට යවන අනන්‍යතා සපයන්නාගේ පිළිතුරකි. කාලය ඉකුත් වීම සාමාන්‍යයෙන් RADIUS සිට නාමාවලිය දක්වා කොටසයි: කල් ඉකුත් වූ bind ගිණුමක්, ළඟා විය නොහැකි නාමාවලියක්, හෝ වැරදි පසුපසට යවන ලද ඉල්ලීමක්. පරිශීලක නාමයේ වසම් උපසර්ගයක් තිබේ නම්, සේවාදායකයට ඒ මත මාර්ගගත කළ හැක, සහ CORP\alice සහ [email protected] ලෙස යවන ලද එකම ගිණුම විවිධ ස්ථානවලට වැටිය හැක. Windows NPS හි, Security ලොගය අවසරය සඳහා 6272 සහ ප්‍රතික්ෂේපය සඳහා 6273 සටහන් කරයි, එය තීරණය NPS වෙතින්ම පැමිණියේදැයි කියයි.
අසාර්ථකතාව එය නිපදවූ පියවරේදීම කියවන්න
එක් සම්බන්ධ විය නොහැකි පණිවිඩයක් විවිධ අසාර්ථකතා හතරක් ආවරණය කරයි. කිසිවක් වෙනස් කිරීමට පෙර, රෝග ලක්ෂණය එය නිපදවූ පියවර සමඟ ගළපන්න.
| What you see | Where it comes from | First check |
|---|---|---|
| Gateway timeout, no reply | Shared secret mismatch, UDP 1812 blocked, unknown NAS, wrong server address | tcpdump at the gateway; radtest from the gateway host |
| Immediate reject | Credentials, account state, domain suffix, RADIUS policy | NPS 6273 or the FreeRADIUS auth log; test the account directly |
| Repeated challenge or MFA loop | Access-Challenge state not returned, or a token that expired mid-flow | Client prompt timing and the State attribute in debug output |
| Accept, then no access | Authorization attributes unmapped, wrong pool, route or ACL policy | Gateway policy and the attributes in the Access-Accept |
අවසාන පේළිය යනු මිනිසුන් වැරදි කණ්ඩායම වෙත යවන පේළියයි. Access-Accept යනු අක්තපත්‍ර පිළිගත් බවයි; ගේට්වේ පරිශීලකයා නිවැරදි තටාකයේ තැබූ බව හෝ මාර්ග තල්ලු කළ බව එයින් අදහස් නොවේ. කණ්ඩායම් ගුණාංග වැදගත් වන්නේ ගේට්වේ ප්‍රතිපත්තිය ඒවා කියවන විටය. නිවැරදි පිවිසුමක් අමුත්තන්ගේ තටාකයකට වැටෙනු මම දැක ඇත්තෙමි, මන්ද RADIUS පැත්තේ කණ්ඩායම් සිතියම්කරණය ගේට්වේ පරීක්ෂා කරන ගුණාංගයට වඩා වෙනස් ගුණාංගයක් සඳහා වින්‍යාස කර තිබුණි.
එක් පිවිසුමක් ආරම්භයේ සිට අවසානය දක්වා අනුගමනය කරන්න
එක් පරීක්ෂණ ගිණුමක් සහ එක් ගේට්වේයක් තෝරන්න, පසුව එම උත්සාහයම ස්ථාන හතරේම නිරීක්ෂණය කරන්න. RADIUS පැත්තේ නිදොස් කිරීමේ ධාවනයක් අරඹන්න — freeradius -X ඉල්ලීම සහ එය ස්පර්ශ කරන සෑම මොඩියුලයක්ම මුද්‍රණය කරයි — ගේට්වේයේ සත්‍යාපන ලොගය අනුගමනය කරන්න, සහ UDP හුවමාරුව සඳහා tcpdump ධාවනය කරන්න. එක් වරක් සම්බන්ධ වී සිව් අඟා ක්‍රමයට කියවන්න.
ඔබට දැකීමට අවශ්‍ය වන්නේ එකඟතාවයි: ගේට්වේ ඔබ බලාපොරොත්තු වූ පරිශීලකයා ගැන ඇසුවා, RADIUS සේවාදායකය ඔබ බලාපොරොත්තු වූ පසුපස තෝරා ගත්තා, එම පසුපස තීරණයක් ආපසු දුන්නා, සහ පිළිතුරේ ගුණාංග ගේට්වේ යොදන ප්‍රතිපත්තිය සමඟ ගැලපේ. අඟා මුලින්ම නොගැලපෙන තැන ඔබේ දෝෂ රේඛාවයි. පිළිතුරේ කණ්ඩායම් ගුණාංගයක් නොමැති නම්, ගැටලුව VPN පැතිකඩේ නොව RADIUS පැත්තේ ය; ගුණාංගය තිබී ගේට්වේ එය නොසලකා හරින්නේ නම්, ගැටලුව ගේට්වේ ප්‍රතිපත්තියයි.
ඔබ එහි සිටින අතරතුර ආරක්ෂණ සටහනක්. බෙදාගත් රහස හුවමාරුව ආරක්ෂා කරයි, නමුත් එය බොහෝ ගුණාංග සංකේතනය නොකරයි. ගේට්වේ සහ RADIUS සේවාදායකය විවිධ කොටස්වල තිබේ නම්, එම පියවර TLS හරහා RADIUS වෙත හෝ පෞද්ගලික මාර්ගයක තබන්න. සංකේතනය කළ පරිශීලක ටනලයක් පසුපස සම්බන්ධය ගැන කිසිවක් නොකියයි.
ටිකට්ටුව වැසීමට පෙර කරුණු හතරක් තහවුරු කරන්න. ගේට්වේ සැබවින්ම වින්‍යාස කර ඇති තොටුපළේ RADIUS සේවාදායකයට ළඟා විය හැක. බෙදාගත් රහස දෙපැත්තේම ගැලපේ. RADIUS සේවාදායකය ගේට්වේ යවන පරිශීලක නාමයේ නිශ්චිත ස්වරූපය විසඳයි. පිළිගැනීම ගේට්වේ ප්‍රතිපත්තියට අවශ්‍ය ගුණාංග ගෙන යයි. හතරම සත්‍ය නම්, තවමත් අසාර්ථක වන පිවිසුම සත්‍යාපනයේ නොව ගේට්වේ ප්‍රතිපත්තියේ ගැටලුවකි.