RADIUS Access-Challenge-க்குப் பிறகு VPN உள்நுழைவு நின்றுவிடுகிறது

உங்கள் கடவுச்சொல் சரியானது, இருந்தாலும் VPN உள்நுழைவு தோல்வியடைகிறது, மேலும் RADIUS சேவையகம் கூறப்பட்டதைச் சரியாகச் செய்திருக்கலாம். நுழைவாயில் பெரும்பாலும் Access-Challenge பெற்று, பயனுள்ள எதையும் காட்டாமல், பின்னர் நேரம் முடிந்துவிட்டது அல்லது அந்தப் பதிலை மறுப்பாகக் கருதியது. வாடிக்கையாளர் பக்கத்திலிருந்து இது தவறான சான்றுகள் அல்லது உடைந்த சுரங்கப்பாதை போலத் தெரிகிறது. காரணம் பொதுவாக யாரும் பதிவு செய்யாத உரையாடலின் நடுவில் இருக்கும்.

ஒரு உள்நுழைவு, இரண்டு RADIUS பரிமாற்றங்கள்

பின்தளம் இரண்டாவது காரணியை விரும்பும்போது, முதல் கோரிக்கைக்கு ஏற்பு அல்லது மறுப்பால் பதிலளிக்காது. குறியீடு 11 உடன் பதிலளித்து பயனரின் அடுத்த பதிலுக்காகக் காத்திருக்கிறது, அதை நுழைவாயில் தொடர் கோரிக்கையில் திருப்பி அனுப்ப வேண்டும். அந்தத் தொடர் கோரிக்கை அதே அங்கீகார உரையாடலுக்குரியது, புதிய உள்நுழைவு முயற்சிக்கு அல்ல.

செயல்படும் அமைப்பில் பயனர் இரண்டாவது கோரிக்கையைக் காண்கிறார்: முதலில் கடவுச்சொல், பின்னர் ஒரு முறை பயன்படுத்தும் குறியீடு, அல்லது இயக்குநர் ஆவணப்படுத்தியிருந்தால் ஒரே ஒருங்கிணைந்த கோரிக்கை. உடைந்த அமைப்பில் இரண்டாவது கோரிக்கை ஒருபோதும் வராது, உள்நுழைவு வெறுமனே தோல்வியடையும்.

இதுவே பின்தொடர வேண்டிய அறிகுறி, வாடிக்கையாளர் பக்கத்திலிருந்து மட்டுமே இதை உறுதிப்படுத்துவது எளிது: VPN வாடிக்கையாளர் சரியாக ஒரு ரகசியத்தைக் கேட்டு, பின்னர் செல்லுபடியானது என்று உங்களுக்குத் தெரிந்த கடவுச்சொல்லை மறுத்தால், பரிமாற்றம் சவாலிலேயே முடிந்திருக்கும்.

சவால் உண்மையில் எதைச் சுமக்கிறது

RADIUS விவரக்குறிப்பு பிரிவு 4.4 இல் குறியீடு 11 ஐ விவரிக்கிறது மற்றும் இங்கு முக்கியமான இரண்டு பண்புகளை அனுமதிக்கிறது. Reply-Message பயனருக்கான உரையை வைத்திருக்கிறது, State சேவையகம் திரும்பப் பெற விரும்பும் தெளிவற்ற மதிப்பை வைத்திருக்கிறது. NAS State ஐ விளக்கக்கூடாது, மாற்றமின்றி திருப்பித் தர வேண்டும்.

தொடர் கோரிக்கை புதிய Identifier மற்றும் புதிய Request Authenticator பயன்படுத்துகிறது, அதே State மதிப்பையும் பயனரின் பதிலையும் சுமக்க வேண்டும். சேவையகம் அதை அந்த State வழியாகக் காத்திருக்கும் சவாலுடன் பொருத்துகிறது, அதனால்தான் பண்பை மீண்டும் உருவாக்கும் அல்லது விட்டுவிடும் நுழைவாயில் இந்தச் சடங்கை முடிக்க முடியாது. ஒவ்வொரு பதிலிலும் response authenticator சரிபார்க்கப்பட வேண்டும், இல்லையெனில் NAS பாக்கெட்டை வீச வேண்டும்.

பிரிவு 4.4 பெரும்பாலான அமைதியான தோல்விகளை விளக்கும் விவரத்தைச் சேர்க்கிறது: சவால்களை ஆதரிக்க முடியாத NAS Access-Challenge ஐ மறுப்பாகக் கருதுகிறது. உங்கள் நுழைவாயிலின் VPN சேவை அந்த ஆதரவை விடப் பழையதாக இருந்தால் அல்லது அதை விட்டுவிட்டால், பின்தளத்தின் இரண்டாவது காரணி கோரிக்கை எந்தக் கோரிக்கையும் இல்லாமல் உடனடி «அங்கீகாரம் தோல்வியடைந்தது» ஆகிறது.

சங்கிலிக் கோரிக்கை எங்கு தொலைகிறது

முதல் சந்தேக நபர் சான்றுகள் அல்ல, கோரிக்கையின் பாதை. வலை உள்நுழைவுகளுக்கு OTP புலத்தைக் காட்டும் போர்ட்டல் VPN சேவைக்கு அதைத் தானாகச் செய்யாது, சில நுழைவாயில்கள் அந்தத் திறனை அறிவிக்கும் வாடிக்கையாளர்களுக்கு மட்டுமே சவாலை அனுப்புகின்றன. அதே கணக்கை இரு நுழைவு இடங்களிலும் சோதிக்கவும்; போர்ட்டல் வேலை செய்து VPN செய்யவில்லை என்றால், நீங்கள் ஒப்படைப்பைப் பார்க்கிறீர்கள், டோக்கனை அல்ல.

உள்ளீட்டு வடிவம் இரண்டாவது சந்தேக நபர். விற்பனையாளர் ஆவணப்படுத்திய பிரிப்பான் இல்லாமல் கடவுச்சொல்லையும் குறியீட்டையும் இணைப்பது, அல்லது சேமித்த சான்றுகள் பழைய குறியீட்டை மீண்டும் இயக்க அனுமதிப்பது, தவறான கடவுச்சொல்லைப் போலவே தோற்றமளிக்கும் தோல்வியை ஏற்படுத்தும். இயக்குநர் ஆவணப்படுத்திய தனிக் கோரிக்கையை அல்லது ஒருங்கிணைந்த வடிவத்தைப் பயன்படுத்துங்கள், ஒருபோதும் நீங்களே பிரிப்பானைக் கற்பனை செய்யாதீர்கள்.

வெளியீட்டுக்கு உரிய குறைபாடுகள் உள்ளன, ஆனால் பல ஆண்டுகளுக்கு முன் சரிசெய்யப்பட்ட பதிப்புகளின் பட்டியல் இன்றைய பயன்பாட்டுக்கான நோயறிதல் அல்ல. நீங்கள் உண்மையில் இயக்கும் மென்பொருளின் வெளியீட்டுக் குறிப்புகளைப் படியுங்கள், கவனிக்கப்பட்ட பரிமாற்ற நிலையை உங்கள் ஆதாரமாக வைத்திருங்கள்.

ஒரு முயற்சியைத் தொடக்கத்திலிருந்து இறுதி வரை கண்டறியுங்கள்

சேவையகப் பக்க பிழைத்திருத்தத்தை இயக்கி ஒரு முறை மீண்டும் உருவாக்குங்கள், மற்ற ஒவ்வொரு அமர்வையும் பிடிப்பு சாளரத்திற்கு வெளியே வையுங்கள்:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

வெளியீட்டில் ஒரு வரிக்குப் பதிலாக உரையாடலின் வடிவத்தைத் தேடுங்கள். Identifier 3 உடன் முதல் Access-Request, State சுமக்கும் Access-Challenge, பின்னர் அந்த State ஐ மீண்டும் கூறி பயனரின் பதிலை உள்ளடக்கிய Identifier 4 உடன் இரண்டாவது Access-Request. இரண்டாவது கோரிக்கை இல்லை என்றால், நுழைவாயில் ஒருபோதும் பின்தொடரவில்லை. State இல்லாமல் வந்தால், சேவையகம் அதைக் காத்திருக்கும் சவாலுடன் பொருத்த முடியாது, பொதுவாக மறுக்கும்.

பாதையைப் பகிரும்போது சான்றுகள், டோக்கன்கள் மற்றும் தேவையற்ற அடையாளத் தரவை மறையுங்கள், பல உலாவி தாவல்களின் மறுமுயற்சிகளைக் கலக்காமல் ஒரே முயற்சியின் நிகழ்வுகளைத் தொடர்புபடுத்துங்கள். இங்கே நேர முத்திரைகள் உங்கள் நண்பர்; வாடிக்கையாளர் விட்டுக்கொடுத்த பின் வரும் சவால் பயனருக்கு மறுப்பாகவும் பதிவில் மெதுவான பதிலாகவும் தெரிகிறது.

நீங்கள் விரும்பும் இறுதி நிலை முடிந்த, அங்கீகரிக்கப்பட்ட உரையாடல் மற்றும் அதைத் தொடர்ந்து நோக்கமிடப்பட்ட சேவை அணுகல். RADIUS சேவையகத்திலிருந்து வரும் பதில் அதை விட மிகக் குறைவையே நிரூபிக்கிறது.