Gelitaanka VPN wuu istaagaa ka dib Access-Challenge RADIUS

Furahaaga sirta ah waa sax, haddana gelitaanka VPN wuu guuldareystaa, laga yaabee in serverka RADIUS uu sameeyay waxa la faray. Gatewaygu waxay u badan tahay inuu helay Access-Challenge, wax aan faa'iido lahayn ma uu tusin, ka dibna waqtigii wuu dhammaaday ama jawaabtaas wuxuu u qaatay diidmo. Dhinaca macmiilka waxay u egtahay aqoonsi khaldan ama tunnel jabtay. Sababta badanaa waxay ku jirtaa dhexda wada hadal qofna aan qaban.

Hal gelitaan, laba isdhaafsi RADIUS

Marka backendku doonayo qodob labaad, kama jawaabo codsiga koowaad aqbalaad ama diidmo. Wuxuu ku jawaabaa koodhka 11 oo wuxuu sugayaa jawaabta xigta ee isticmaalaha, taas oo gatewaygu tahay inuu ku soo celiyo codsi xiga. Codsigaas xiga wuxuu ka tirsan yahay isla wada hadalka xaqiijinta, ma aha isku day gelitaan cusub.

Habaynta shaqaysa isticmaalahu wuxuu arkaa weydiin labaad: marka hore furaha sirta ah, ka dib koodh hal mar la isticmaalo, ama hal weydiin isku dhafan haddii hawlwadeenku mid diiwaangeliyay. Habaynta jaban weydiinta labaad waligeed ma soo baxdo gelitaankuna si fudud ayuu u guuldareystaa.

Taasi waa calaamadda la raadinayo, wayna fudud tahay in laga xaqiijiyo dhinaca macmiilka oo keliya: haddii macmiilka VPN uu weydiisto hal sir oo kaliya ka dibna diido furaha sirta ah ee aad taqaan inuu ansax yahay, isdhaafsigu wuxuu ku dhammaaday caqabadda.

Caqabaddu run ahaantii maxay qaaddaa

Qeexitaanka RADIUS wuxuu qeexayaa koodhka 11 qaybta 4.4 wuxuuna oggolaanayaa laba sifo oo halkan muhiim ah. Reply-Message waxay haysataa qoraal loogu talagalay isticmaalaha, State-na waxay haysataa qiime aan caddayn oo serverku doonayo in dib loo soo celiyo. NAS ma aha inuu fasiraad ka bixiyo State, oo kaliya inuu si aan isbeddel lahayn u soo celiyo.

Codsiga xiga wuxuu isticmaalaa Identifier cusub iyo Request Authenticator cusub, waana inuu qaataa isla qiimaha State iyo jawaabta isticmaalaha. Serverku wuxuu ku habeynayaa caqabadda sugaysa isaga oo adeegsanaya Statekaas, taas ayaa sabab u ah in gateway dib u soo saara ama tuura sifada uusan dhammayn karin xafladda. response authenticator-ka jawaab kasta sidoo kale waa in la xaqiijiyaa, haddii kale NAS waa inuu tuuraa baakadka.

Qaybta 4.4 waxay ku dartaa faahfaahinta sharraxda inta badan guuldarrooyinka aamusan: NAS aan taageeri karin caqabadaha wuxuu Access-Challenge u qaataa diidmo. Haddii adeegga VPN ee gatewaygaagu ka duugoobay taageeradaas ama ka baaqday, codsiga backendka ee qodob labaad wuxuu noqdaa «xaqiijintu guuldareystay» isla markiiba iyada oo aan weydiin lahayn.

Xaggee codsiga silsiladda ah lumaa

Tuhmanaha koowaad ma aha aqoonsiga, waa wadada weydiinta. Bogga soo bandhiga goob OTP gelitaanka web ma sameeyo taas si otomaatig ah adeegga VPN, qaar ka mid ah gateway-yaduna waxay caqabad u gudbiyaan oo kaliya macmiilada sheega awooddaas. Isku day isla akoonka labada meelood gelitaan; haddii boggu shaqeeyo VPN-na uusan shaqeyn, waxaad eegaysaa gudbinta, ma aha tokenka.

Qaabka gelinta waa tuhmanaha labaad. Ku xiridda furaha sirta ah iyo koodhka iyada oo aan la isticmaalin kala soocaha ay iibiyuhu diiwaangeliyay, ama u oggolaanshaha aqoonsiga kaydsan inuu dib u ciyaaro koodh hore, wuxuu ku guuldareystaa si la mid ah furaha sirta ah ee khaldan. Isticmaal weydiinta gaar ah ama qaabka isku dhafan ee hawlwadeenku diiwaangeliyay, marnaba ha iska samaynin kala sooce.

Cillado u gaar ah daabacaaddu way jiraan, laakiin liiska noocyada la hagaajiyay ee sannado ka hor ma aha ogaanshaha hirgelinta maanta. Akhri qoraallada daabacaadda software-ka aad runtii wado, oo hay qaybta isdhaafsiga la arkay sida caddayntaada.

Raac hal isku day bilow ilaa dhammaad

Hal mar soo saar, iyada oo debugging-ka dhinaca serverka shidan yahay, oo kulan kasta oo kale ka fogee daaqadda qabashada:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

Natiijada raadi qaabka wada hadalka halkii aad ka raadin lahayd hal sadar. Access-Request kowaad oo leh Identifier 3, Access-Challenge qaadanaya State, ka dib Access-Request labaad oo leh Identifier 4 oo ku celiya Statekaas oo ay ku jirto jawaabta isticmaalaha. Haddii codsiga labaad maqan yahay, gatewaygu waligiis ma raacin. Haddii uu yimaado isagoo aan State lahayn, serverku ma awoodo inuu ku habeyo caqabadda sugaysa wuuna diidi doonaa badanaa.

Marka aad wadaagto raadka, qari aqoonsiga, tokenada iyo xogta aqoonsiga aan loo baahnayn, oo isku xidh dhacdooyinka hal isku day halkii aad isku qasi lahayd isku dayo ka socda tabooyin browser oo dhawr ah. Shaabaddaha waqtigu halkaan waa saaxiibkaa; caqabad timaadda ka dib marka macmiilku ka quustay waxay u muuqataa diidmo isticmaalaha iyo jawaab gaabis ah diiwaanka.

Xaaladda ugu dambaysa ee aad rabto waa wada hadal dhammaystiran oo la oggolaaday, ka dibna gelitaanka adeegga loogu talagalay. Jawaab ka timid serverka RADIUS waxay caddeyneysaa wax aad uga yar taas.