Realm за аутентификацију VPN-а: који простор назива налога побеђује?

Свака VPN пријава заврши у неком простору назива налога, а realm је селектор који одређује у који. Он не говори ништа о земљи, локацији сервера или нивоу поверења. Два идентична корисничка имена могу живети у различитим realm-овима, зато исправна лозинка понекад аутентификује погрешан налог. Овај приручник најпре уређује форму идентитета, а затим прати захтев до система који је заиста одговорио.

Шта realm бира

Гејтвеј прима корисничко име и мора да одлучи где да га провери. Realm је део тог имена, или атрибут поред њега, који бира базу података: директоријум, RADIUS базен, локалну датотеку налога. NPS компаније Microsoft то назива именом realm-а и њиме усмерава захтеве за повезивање, док EAP идентификатор мрежног приступа носи исту идеју као суфикс после знака at у RFC 7542. Оба су селектори и ниједан не одлучује да ли су подаци за приступ добри.

Ово раздвајање ствара два веома различита неуспеха. Realm који исправно усмерава са погрешном лозинком даје једно одбијање, док realm који усмерава на погрешну базу може одбити исправну лозинку или прихватити туђу. Ниједна грешка не помиње realm, зато је прва дијагноза увек иста: сазнај који систем је одговорио.

Синтакса realm-а припада распоређивању. Неке услуге желе неквалификовано име плус атрибут, друге желе user@domain, а ретке очекују облик са обрнутом косом цртом који већина водича не помиње.

Користите облик који позадина очекује

Питајте оператера који облик да упишете пре него што пробате суфиксе из упутства. Име квалификовано доменом које стигне до позадине која очекује једноставно име обично не успева при претрази, а не при провери лозинке. Исто кратко име у два директоријума је случај у ком realm који недостаје наноси највећу штету.

Не сматрајте административни налог доказом. Веб конзола у којој администрирате услугу може се аутентификовати према локалној датотеци, док тунел проверава сасвим други директоријум. Тестирајте са подацима које би користио стварни корисник, на интерфејсу који би користио стварни корисник. Успешна пријава у конзолу не говори ништа о realm-у који гејтвеј примењује на VPN аутентификацију.

Прегледачи и поштански клијенти понекад кеширају претходни идентитет и тихо га поново шаљу. Када се пријављено корисничко име разликује од унетог, тај кеш је прво место које треба погледати.

Пратите захтев кроз прокси

На FreeRADIUS предњем делу, realm-ови се декларишу у конфигурацији проксија, а декларисани суфикс одлучује који ће домашњи сервер примити захтев. Прочитајте ту датотеку пре него што било шта промените, јер се захтев који не одговара ниједном realm-у подразумевано обрађује локално.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep показује који суфикси постоје и ка ком базену сваки циља. Позив radtest шаље име са realm-ом и намерно погрешну лозинку, тако да одбијање доказује да су се извршили и усмеравање и провера података за приступ. Линије дневника око тог покушаја показују да ли је име уклоњено пре проксија и који га је домашњи сервер преузео. Ако дневник уопште не показује поклапање realm-а, захтев никада није напустио локални сервер и проблем је суфикс, а не лозинка.

Мењајте једну ствар одједном и поновите покушај, јер дневник раздваја усмеравање од неуспеха података за приступ само када се улаз разликује између покретања. Држите заједничку тајну изван историје shell-а тамо где алат подржава читање из датотеке или упита.

Забележите покушај без цурења

Запишите неуспех у облику на који администратор може да делује: интерфејс, форма идентитета, да ли је realm био присутан и тачна грешка која није тајна. Држите активни корисничко име изван јавних извештаја, а realm унутра. Редакција сваког идентитета у исти резервисани израз крије управо неслагање које тражите. Временска ознака је такође важна, јер гејтвеј, прокси и директоријум воде одвојене дневнике.

Затим документујте победнички облик за кориснике, јер ће следећа особа која га погрешно упише отворити исти тикет. Ресетовање лозинке не поправља захтев који наставља да слеће у погрешан простор назива. Realm је одлука о усмеравању, а одлуке о усмеравању се поправљају правилним именовањем.