Realm overovania VPN: ktorý menný priestor účtu vyhráva?

Každé prihlásenie VPN pristane v nejakom mennom priestore účtu a realm je selektor, ktorý rozhoduje, v ktorom. Nehovorí nič o krajine, umiestnení servera ani úrovni dôvery. Dve identické používateľské mená môžu žiť v rôznych realmoch, preto správne heslo niekedy overí nesprávny účet. Tento runbook najprv zafixuje formu identity a potom sleduje požiadavku až k systému, ktorý skutočne odpovedal.

Čo realm vyberá

Brána prijme používateľské meno a musí rozhodnúť, kde ho overiť. Realm je časť tohto mena alebo atribút vedľa neho, ktorý vyberá databázu: adresár, fond RADIUS, lokálny súbor účtov. NPS od Microsoftu to nazýva názov realmu a smeruje ním požiadavky na pripojenie, zatiaľ čo identifikátor sieťového prístupu EAP nesie rovnakú myšlienku ako príponu za znakom at v RFC 7542. Oba sú selektory a ani jeden nerozhoduje, či sú prihlasovacie údaje dobré.

Toto oddelenie vytvára dva veľmi odlišné zlyhania. Realm, ktorý smeruje správne s nesprávnym heslom, dá jedno odmietnutie, kým realm, ktorý smeruje do nesprávnej databázy, môže odmietnuť správne heslo alebo prijať cudzie. Ani jedna chyba nespomína realm, preto je prvá diagnóza vždy rovnaká: zistiť, ktorý systém odpovedal.

Syntax realmu patrí nasadeniu. Niektoré služby chcú nekvalifikované meno plus atribút, iné chcú user@domain a zopár očakáva formu s obrátenou lomkou, ktorú väčšina príručiek nespomína.

Používajte formu, ktorú očakáva backend

Pred skúšaním prípon z návodu sa opýtajte operátora, ktorú formu písať. Doménou kvalifikované meno, ktoré dorazí do backendu očakávajúceho jednoduché meno, zvyčajne zlyhá pri vyhľadávaní, nie pri kontrole hesla. To isté krátke meno v dvoch adresároch je prípad, keď chýbajúci realm spôsobí najväčšiu škodu.

Nepovažujte správcovský účet za dôkaz. Webová konzola, v ktorej službu spravujete, sa môže overovať voči lokálnemu súboru, kým tunel kontroluje úplne iný adresár. Testujte s údajmi, ktoré by použil skutočný používateľ, v rozhraní, ktoré by použil skutočný používateľ. Úspešné prihlásenie do konzoly nehovorí nič o realme, ktorý brána uplatňuje na overovanie VPN.

Prehliadače a poštoví klienti niekedy ukladajú predchádzajúcu identitu a potichu ju znovu odošlú. Keď sa nahlásené používateľské meno líši od zadaného, najprv skontrolujte túto vyrovnávaciu pamäť.

Sledujte požiadavku cez proxy

Na fronte FreeRADIUS sa realmy deklarujú v konfigurácii proxy a deklarovaná prípona rozhoduje, ktorý domovský server požiadavku dostane. Prečítajte si ten súbor, skôr než čokoľvek zmeníte, pretože požiadavka, ktorá nezodpovedá žiadnemu realmu, sa predvolene spracúva lokálne.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep ukazuje, aké prípony existujú a na ktorý fond každá mieri. Volanie radtest posiela meno s realmom a úmyselne nesprávne heslo, takže odmietnutie dokazuje, že prebehlo smerovanie aj kontrola prihlasovacích údajov. Riadky denníka okolo tohto pokusu ukazujú, či bolo meno odstránené pred proxy a ktorý domovský server ho prevzal. Ak denník vôbec neukazuje zhodu realmu, požiadavka nikdy neopustila lokálny server a problémom je prípona, nie heslo.

Meňte jednu vec naraz a pokus opakujte, pretože denník oddeľuje smerovanie od zlyhania prihlasovacích údajov len vtedy, keď sa vstup medzi behmi líši. Spoločné tajomstvo držte mimo histórie shellu tam, kde nástroj podporuje čítanie zo súboru alebo výzvy.

Zaznamenajte pokus bez úniku

Napíšte zlyhanie vo forme, na ktorú môže správca konať: rozhranie, forma identity, či bol prítomný realm a presná nie-tajná chyba. Držte aktívne používateľské meno mimo verejných správ a realm vnútri. Redigovanie každej identity na rovnaký zástupný symbol skrýva presne ten nesúlad, ktorý hľadáte. Dôležitá je aj časová značka, pretože brána, proxy a adresár vedú oddelené denníky.

Potom zdokumentujte pre používateľov víťaznú formu, pretože ďalší človek, ktorý ju napíše nesprávne, otvorí ten istý tiket. Reset hesla neopraví požiadavku, ktorá naďalej pristáva v nesprávnom mennom priestore. Realm je rozhodnutie o smerovaní a rozhodnutia o smerovaní sa opravujú správnym pomenovaním.