Kuingia VPN kukwama baada ya Access-Challenge ya RADIUS

Nenosiri lako ni sahihi, kuingia VPN kunashindikana hata hivyo, na seva ya RADIUS inaweza kuwa imefanya kile ilichoamriwa. Lango huenda lilipokea Access-Challenge, halikuonyesha kitu chochote chenye manufaa, kisha muda ukamalizika au likalichukulia jibu hilo kama kukataa. Kwa upande wa mteja inaonekana kama vitambulisho visivyofaa au handaki lililovunjika. Sababu kwa kawaida iko katikati ya mazungumzo ambayo hakuna aliyeyarekodi.

Kuingia mara moja, mabadilishano mawili ya RADIUS

Wakati mfumo wa nyuma unataka kipengele cha pili, haujibu ombi la kwanza kwa kukubali au kukataa. Hujibu kwa msimbo 11 na husubiri jibu lifuatalo la mtumiaji, ambalo lango linapaswa kulirudisha katika ombi la ufuatiliaji. Ombi hilo la ufuatiliaji ni la mazungumzo hayo hayo ya uthibitishaji, si la jaribio jipya la kuingia.

Katika mpangilio unaofanya kazi mtumiaji huona ombi la pili: kwanza nenosiri, kisha msimbo wa matumizi ya mara moja, au ombi moja lililounganishwa ikiwa mwendeshaji ameandika hilo. Katika mpangilio uliovunjika ombi la pili haliwezi kuonekana na kuingia kunashindikana tu.

Hiyo ndiyo dalili ya kufuatilia, na ni rahisi kuithibitisha kwa upande wa mteja pekee: ikiwa mteja wa VPN anauliza siri moja hasa kisha anakataa nenosiri unalojua ni halali, mabadilishano yalimalizika kwenye changamoto.

Changamoto kwa kweli hubeba nini

Vipimo vya RADIUS vinaeleza msimbo 11 katika sehemu 4.4 na vinaruhusu sifa mbili ambazo ni muhimu hapa. Reply-Message hubeba maandishi yaliyokusudiwa mtumiaji, na State hubeba thamani isiyoeleweka ambayo seva inataka irudishwe. NAS haipaswi kufasiri State, bali kuirudisha bila mabadiliko.

Ombi la ufuatiliaji hutumia Identifier mpya na Request Authenticator mpya, na lazima libebe thamani hiyo hiyo ya State pamoja na jibu la mtumiaji. Seva huilinganisha na changamoto inayosubiri kupitia State hiyo, ndiyo sababu lango linalozalisha upya au kutupa sifa hiyo haliwezi kukamilisha tambiko. Response authenticator katika kila jibu pia lazima ithibitishwe, vinginevyo NAS inapaswa kutupa pakiti.

Sehemu 4.4 inaongeza maelezo yanayoeleza kushindikana kwingi kwa kimya: NAS isiyoweza kusaidia changamoto huichukulia Access-Challenge kama kukataa. Ikiwa huduma ya VPN ya lango lako ni ya zamani kuliko msaada huo au inaiacha, ombi la mfumo wa nyuma la kipengele cha pili huwa «uthibitishaji umeshindikana» papo hapo bila ombi lolote.

Ombi la mnyororo hupotea wapi

Mtuhumiwa wa kwanza si vitambulisho, ni njia ya ombi. Lango la tovuti linaloonyesha sehemu ya OTP kwa kuingia kwa wavuti halifanyi hivyo kiotomatiki kwa huduma ya VPN, na baadhi ya malango hupitisha changamoto kwa wateja wanaotangaza uwezo huo pekee. Jaribu akaunti hiyo hiyo katika sehemu zote mbili za kuingia; ikiwa lango linafanya kazi na VPN haifanyi, unaangalia uwasilishaji, si tokeni.

Muundo wa ingizo ni mtuhumiwa wa pili. Kuunganisha nenosiri na msimbo bila kitenganishi kilichoandikwa na muuzaji, au kuruhusu vitambulisho vilivyohifadhiwa kurudia msimbo wa zamani, kunashindikana kwa namna inayofanana kabisa na nenosiri lisilo sahihi. Tumia ombi tofauti au muundo uliounganishwa ulioandikwa na mwendeshaji, na kamwe usibuni kitenganishi mwenyewe.

Hitilafu maalum za toleo zipo, lakini orodha ya matoleo yaliyorekebishwa ya miaka iliyopita si utambuzi wa usanidi wa leo. Soma maelezo ya toleo la programu unayoendesha kweli, na uweke hatua ya mabadilishano iliyozingatiwa kama ushahidi wako.

Fuatilia jaribio moja kutoka mwanzo hadi mwisho

Izalisha tena mara moja, ukiwa na utatuzi wa hitilafu upande wa seva umewashwa, na uweke kila kikao kingine nje ya dirisha la kunasa:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

Katika matokeo tafuta umbo la mazungumzo badala ya mstari mmoja. Access-Request ya kwanza yenye Identifier 3, Access-Challenge inayobeba State, kisha Access-Request ya pili yenye Identifier 4 inayorudia State hiyo na kujumuisha jibu la mtumiaji. Ikiwa ombi la pili halipo, lango halikufuatilia kamwe. Ikiwa linakuja bila State, seva haiwezi kulinganisha na changamoto inayosubiri na kwa kawaida hukataa.

Unaposhiriki ufuatiliaji, ficha vitambulisho, tokeni na data ya utambulisho isiyohitajika, na unganisha matukio kutoka jaribio moja badala ya kuchanganya majaribio ya mara kwa mara kutoka tabo kadhaa za kivinjari. Mihuri ya muda ni rafiki yako hapa; changamoto inayofika baada ya mteja kukata tamaa inaonekana kama kukataa kwa mtumiaji na kama jibu la polepole kwenye kumbukumbu.

Hali ya mwisho unayotaka ni mazungumzo yaliyokamilika na kuruhusiwa, yafuatayo na ufikiaji uliokusudiwa wa huduma. Jibu linalofika kutoka seva ya RADIUS linathibitisha kidogo sana kuliko hilo.