Realm-i i vërtetimit të VPN: cili hapësirë emrash llogarie fiton?

Çdo hyrje VPN përfundon në një hapësirë emrash llogarie, dhe realm-i është përzgjedhësi që vendos se në cilën. Ai nuk thotë asgjë për vendin, vendndodhjen e serverit ose nivelin e besimit. Dy emra përdoruesi identikë mund të jetojnë në realm-e të ndryshme, prandaj një fjalëkalim i saktë ndonjëherë vërteton llogarinë e gabuar. Ky udhëzues fillimisht rregullon formën e identitetit, pastaj gjurmon kërkesën deri te sistemi që u përgjigj në të vërtetë.

Çfarë zgjedh realm-i

Një portë pranon një emër përdoruesi dhe duhet të vendosë ku ta kontrollojë. Realm-i është pjesa e atij emri, ose atributi pranë tij, që zgjedh bazën e të dhënave: një drejtori, një pishinë RADIUS, një skedar llogarish lokal. NPS i Microsoft-it e quan këtë emër realm-i dhe drejton me të kërkesat e lidhjes, ndërsa identifikuesi i aksesit në rrjet EAP mbart të njëjtën ide si prapashtesë pas shenjës at në RFC 7542. Të dy janë përzgjedhës dhe asnjëri nuk vendos nëse kredenciali është i mirë.

Ky ndarje prodhon dy dështime shumë të ndryshme. Një realm që drejton saktë me një fjalëkalim të gabuar jep një refuzim, ndërsa një realm që drejton në bazën e gabuar mund të refuzojë një fjalëkalim të saktë ose të pranojë atë të dikujt tjetër. Asnjë gabim nuk e përmend realm-in, prandaj diagnoza e parë është gjithmonë e njëjta: zbulo cili sistem u përgjigj.

Sintaksa e realm-it i përket vendosjes. Disa shërbime duan një emër të pakualifikuar plus një atribut, të tjerë duan user@domain, dhe disa pak presin një formë me backslash që shumica e udhëzuesve nuk e përmendin.

Përdorni formën që pret backend-i

Pyesni operatorin cilën formë të shkruani përpara se të provoni prapashtesa nga një tutorial. Një emër i kualifikuar me domen që arrin në një backend që pret një emër të thjeshtë zakonisht dështon në kërkim, jo në kontrollin e fjalëkalimit. I njëjti emër i shkurtër në dy drejtori është rasti ku një realm që mungon shkakton dëmin më të madh.

Mos e merrni llogarinë e menaxhimit si provë. Konsola e uebit ku administroni shërbimin mund të vërtetojë kundrejt një skedari lokal, ndërsa tuneli kontrollon një drejtori krejt tjetër. Testoni me kredencialet që do të përdorte një përdorues real, në ndërfaqen që do të përdorte një përdorues real. Një hyrje e suksesshme në konsolë nuk thotë asgjë për realm-in që porta zbaton në vërtetimin VPN.

Shfletuesit dhe klientët e postës ndonjëherë ruajnë një identitet të mëparshëm dhe e ridërgojnë atë në heshtje. Kur emri i përdoruesit i raportuar ndryshon nga ai i shtypur, ai cache është vendi i parë për t'u parë.

Gjurmoni kërkesën përmes proxy-t

Në një front end FreeRADIUS, realm-et deklarohen në konfigurimin e proxy-t, dhe prapashtesa e deklaruar vendos se cili server shtëpiak e merr kërkesën. Lexojeni atë skedar përpara se të ndryshoni ndonjë gjë, sepse një kërkesë që nuk përputhet me asnjë realm trajtohet lokalisht si parazgjedhje.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep tregon cilat prapashtesa ekzistojnë dhe në cilën pishinë synon secila. Thirrja radtest dërgon një emër me realm dhe një fjalëkalim të gabuar qëllimisht, kështu që një refuzim provon se si drejtimi ashtu edhe kontrolli i kredencialit u ekzekutuan. Rreshtat e ditarit rreth atij përpjekjeje tregojnë nëse emri u hoq përpara proxy-t dhe cili server shtëpiak e mori. Nëse ditari nuk tregon fare përputhje realm-i, kërkesa nuk e la kurrë serverin lokal dhe problemi është prapashtesa, jo fjalëkalimi.

Ndryshoni një gjë në një kohë dhe përsëritni përpjekjen, sepse ditari e ndan drejtimin nga dështimi i kredencialit vetëm kur hyrja ndryshon midis ekzekutimeve. Mbani sekretin e përbashkët jashtë historikut të shell-it aty ku mjeti mbështet leximin nga një skedar ose prompt.

Regjistroni përpjekjen pa e zbuluar

Shkruani dështimin në një formë mbi të cilën një administrator mund të veprojë: ndërfaqja, forma e identitetit, nëse ishte i pranishëm një realm dhe gabimi i saktë që nuk është sekret. Mbani emrin aktiv të përdoruesit jashtë raporteve publike dhe realm-in brenda. Redaktimi i çdo identiteti në të njëjtin vendmbajtës fsheh pikërisht mospërputhjen që po kërkoni. Edhe vula kohore ka rëndësi, sepse porta, proxy-t dhe drejtoria mbajnë ditare të veçanta.

Pastaj dokumentoni për përdoruesit formën fituese, sepse personi tjetër që e shkruan gabimisht hap të njëjtën biletë. Rivendosja e fjalëkalimit nuk rregullon një kërkesë që vazhdon të ulet në hapësirën e gabuar të emrave. Realm-i është një vendim drejtimi, dhe vendimet e drejtimit rregullohen duke i emërtuar saktë.