Realm preverjanja pristnosti VPN: kateri imenski prostor računa zmaga?

Vsaka prijava VPN pristane v nekem imenskem prostoru računa, realm pa je izbirnik, ki odloči, v katerem. Ne pove ničesar o državi, lokaciji strežnika ali ravni zaupanja. Dve enaki uporabniški imeni lahko živita v različnih realmih, zato pravilno geslo včasih preveri napačen račun. Ta priročnik najprej določi obliko identitete, nato pa sledi zahtevi do sistema, ki je dejansko odgovoril.

Kaj realm izbere

Prehod prejme uporabniško ime in se mora odločiti, kje ga preveriti. Realm je del tega imena ali atribut ob njem, ki izbere zbirko podatkov: imenik, nabor RADIUS, lokalno datoteko računov. Microsoftov NPS to imenuje ime realma in z njim usmerja zahteve za povezavo, medtem ko identifikator omrežnega dostopa EAP nosi isto zamisel kot pripono za znakom at v RFC 7542. Oba sta izbirnika in nobeden ne odloči, ali so poverilnice dobre.

Ta ločitev ustvari dve zelo različni napaki. Realm, ki usmerja pravilno z napačnim geslom, da eno zavrnitev, medtem ko lahko realm, ki usmerja v napačno zbirko podatkov, zavrne pravilno geslo ali sprejme tuje. Nobena napaka ne omenja realma, zato je prva diagnoza vedno ista: ugotoviti, kateri sistem je odgovoril.

Sintaksa realma pripada uvajanju. Nekatere storitve hočejo nekvalificirano ime plus atribut, druge hočejo user@domain, redke pa pričakujejo obliko z obrnjeno poševnico, ki je večina vodnikov ne omenja.

Uporabite obliko, ki jo pričakuje zaledje

Preden poskusite pripone iz vadnice, vprašajte operaterja, katero obliko vnesti. Z domeno kvalificirano ime, ki prispe v zaledje, ki pričakuje preprosto ime, običajno spodleti pri iskanju, ne pri preverjanju gesla. Isto kratko ime v dveh imenikih je primer, ko manjkajoči realm naredi največ škode.

Upravljalnega računa ne jemljite kot dokaz. Spletna konzola, v kateri upravljate storitev, se lahko preverja proti lokalni datoteki, medtem ko predor preverja povsem drug imenik. Preizkusite s poverilnicami, ki bi jih uporabil resničen uporabnik, v vmesniku, ki bi ga uporabil resničen uporabnik. Uspešna prijava v konzolo ne pove ničesar o realmu, ki ga prehod uporablja za preverjanje pristnosti VPN.

Brskalniki in poštni odjemalci včasih shranijo prejšnjo identiteto in jo tiho znova pošljejo. Ko se sporočeno uporabniško ime razlikuje od vnesenega, je treba najprej pogledati ta predpomnilnik.

Sledite zahtevi skozi proxy

Na čelu FreeRADIUS se realmi deklarirajo v konfiguraciji proxyja, deklarirana pripona pa odloči, kateri domači strežnik prejme zahtevo. Preberite to datoteko, preden karkoli spremenite, ker se zahteva, ki se ne ujema z nobenim realmom, privzeto obdela lokalno.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep pokaže, katere pripone obstajajo in na kateri nabor cilja vsaka. Klic radtest pošlje ime z realmom in namerno napačno geslo, zato zavrnitev dokaže, da sta se izvedla tako usmerjanje kot preverjanje poverilnic. Vrstice dnevnika okoli tega poskusa pokažejo, ali je bilo ime odstranjeno pred proxyjem in kateri domači strežnik ga je prevzel. Če dnevnik sploh ne pokaže ujemanja realma, zahteva nikoli ni zapustila lokalnega strežnika in težava je pripona, ne geslo.

Spreminjajte eno stvar naenkrat in poskus ponovite, ker dnevnik loči usmerjanje od napake poverilnic le, kadar se vnos med zagoni razlikuje. Skupno skrivnost hranite zunaj zgodovine lupine tam, kjer orodje podpira branje iz datoteke ali poziva.

Zabeležite poskus, ne da bi ga razkrili

Napako zapišite v obliki, na katero lahko skrbnik ukrepa: vmesnik, oblika identitete, ali je bil realm prisoten, in natančna ne-tajna napaka. Aktivno uporabniško ime držite zunaj javnih poročil, realm pa znotraj. Redigiranje vsake identitete v isti nadomestni znak skrije prav tisto neujemanje, ki ga iščete. Pomembna je tudi časovna oznaka, ker prehod, proxy in imenik vodijo ločene dnevnike.

Nato uporabnikom dokumentirajte zmagovalno obliko, ker bo naslednja oseba, ki jo bo vnesla napačno, odprla isto zahtevo. Ponastavitev gesla ne popravi zahteve, ki še naprej pristaja v napačnem imenskem prostoru. Realm je odločitev o usmerjanju, odločitve o usmerjanju pa se popravijo s pravilnim poimenovanjem.