RADIUS Access-Challenge తర్వాత VPN లాగిన్ ఆగిపోతుంది

మీ పాస్‌వర్డ్ సరైనది, అయినా VPN లాగిన్ విఫలమవుతుంది, మరియు RADIUS సర్వర్ తనకు చెప్పినది సరిగ్గా చేసి ఉండవచ్చు. గేట్‌వే బహుశా Access-Challenge అందుకుని, ఉపయోగకరమైనది ఏమీ చూపకుండా, తర్వాత సమయం ముగిసిపోయింది లేదా ఆ ప్రతిస్పందనను తిరస్కరంగా పరిగణించింది. క్లయింట్ వైపు నుండి ఇది తప్పు ఆధారాలు లేదా విరిగిన టన్నెల్‌లా కనిపిస్తుంది. కారణం సాధారణంగా ఎవరూ సంగ్రహించని సంభాషణ మధ్యలో ఉంటుంది.

ఒక లాగిన్, రెండు RADIUS మార్పిడులు

బ్యాకెండ్‌కు రెండవ కారకం కావాల్సినప్పుడు, అది మొదటి అభ్యర్థనకు అంగీకారం లేదా తిరస్కరంతో జవాబు ఇవ్వదు. అది కోడ్ 11 తో జవాబిస్తుంది మరియు వినియోగదారు తదుపరి ప్రతిస్పందన కోసం వేచి ఉంటుంది, దాన్ని గేట్‌వే తదుపరి అభ్యర్థనలో తిరిగి పంపాలి. ఆ తదుపరి అభ్యర్థన అదే ప్రామాణీకరణ సంభాషణకు చెందుతుంది, కొత్త లాగిన్ ప్రయత్నానికి కాదు.

పని చేసే సెటప్‌లో వినియోగదారు రెండవ ప్రాంప్ట్ చూస్తారు: మొదట పాస్‌వర్డ్, తర్వాత ఒక-సారి కోడ్, లేదా ఆపరేటర్ డాక్యుమెంట్ చేసి ఉంటే ఒకే సంయుక్త ప్రాంప్ట్. విరిగిన సెటప్‌లో రెండవ ప్రాంప్ట్ ఎప్పుడూ రాదు మరియు లాగిన్ కేవలం విఫలమవుతుంది.

ఇదే అనుసరించాల్సిన లక్షణం, మరియు క్లయింట్ వైపు నుండి మాత్రమే నిర్ధారించడం సులభం: VPN క్లయింట్ సరిగ్గా ఒక రహస్యాన్ని అడిగి, తర్వాత మీకు చెల్లుబాటు అని తెలిసిన పాస్‌వర్డ్‌ను తిరస్కరిస్తే, మార్పిడి సవాలులోనే ముగిసి ఉండవచ్చు.

సవాలు నిజానికి ఏమి మోస్తుంది

RADIUS స్పెసిఫికేషన్ విభాగం 4.4 లో కోడ్ 11 ను వివరిస్తుంది మరియు ఇక్కడ ముఖ్యమైన రెండు లక్షణాలను అనుమతిస్తుంది. Reply-Message వినియోగదారు కోసం ఉద్దేశించిన వచనాన్ని ఉంచుతుంది, మరియు State సర్వర్ తిరిగి పొందాలనుకునే అస్పష్టమైన విలువను ఉంచుతుంది. NAS State ను అర్థం చేసుకోకూడదు, మార్పు లేకుండా తిరిగి ఇవ్వాలి.

తదుపరి అభ్యర్థన కొత్త Identifier మరియు కొత్త Request Authenticator ఉపయోగిస్తుంది, మరియు అదే State విలువతో పాటు వినియోగదారు ప్రతిస్పందనను తీసుకెళ్లాలి. సర్వర్ దాన్ని ఆ State ద్వారా వేచి ఉన్న సవాలుతో సరిపోల్చుతుంది, అందుకే లక్షణాన్ని తిరిగి సృష్టించే లేదా విసిరే గేట్‌వే ఈ ఆచారాన్ని పూర్తి చేయలేదు. ప్రతి జవాబులోని response authenticator కూడా ధృవీకరించబడాలి, లేకపోతే NAS ప్యాకెట్‌ను విసరాలి.

విభాగం 4.4 చాలా నిశ్శబ్ద వైఫల్యాలను వివరించే వివరాన్ని జోడిస్తుంది: సవాళ్లకు మద్దతు ఇవ్వలేని NAS Access-Challenge ను తిరస్కరంగా పరిగణిస్తుంది. మీ గేట్‌వే యొక్క VPN సేవ ఆ మద్దతు కంటే పాతదైతే లేదా దాన్ని వదిలేస్తే, బ్యాకెండ్ రెండవ కారకం అభ్యర్థన ఎలాంటి ప్రాంప్ట్ లేకుండా తక్షణ «ప్రామాణీకరణ విఫలమైంది» అవుతుంది.

గొలుసు అభ్యర్థన ఎక్కడ పోతుంది

మొదటి అనుమానితుడు ఆధారాలు కాదు, ప్రాంప్ట్ మార్గం. వెబ్ లాగిన్‌లకు OTP ఫీల్డ్ చూపించే పోర్టల్ VPN సేవకు స్వయంచాలకంగా అలా చేయదు, మరియు కొన్ని గేట్‌వేలు ఆ సామర్థ్యాన్ని ప్రకటించే క్లయింట్లకు మాత్రమే సవాలును పంపుతాయి. అదే ఖాతాను రెండు ప్రవేశ బిందువులలో పరీక్షించండి; పోర్టల్ పనిచేసి VPN పనిచేయకపోతే, మీరు అప్పగింపును చూస్తున్నారు, టోకెన్‌ను కాదు.

ఇన్‌పుట్ ఫార్మాట్ రెండవ అనుమానితుడు. విక్రేత డాక్యుమెంట్ చేసిన విభాజకం లేకుండా పాస్‌వర్డ్ మరియు కోడ్‌ను కలపడం, లేదా నిల్వ చేసిన ఆధారాలు పాత కోడ్‌ను తిరిగి ప్లే చేయడానికి అనుమతించడం, తప్పు పాస్‌వర్డ్‌లానే కనిపించే విధంగా విఫలమవుతుంది. ఆపరేటర్ డాక్యుమెంట్ చేసిన ప్రత్యేక ప్రాంప్ట్ లేదా సంయుక్త ఫార్మాట్ ఉపయోగించండి, ఎప్పుడూ స్వయంగా విభాజకాన్ని సృష్టించకండి.

వెర్షన్-నిర్దిష్ట లోపాలు ఉన్నాయి, కానీ సంవత్సరాల క్రితం సరిచేసిన వెర్షన్ల జాబితా నేటి అమలుకు నిర్ధారణ కాదు. మీరు నిజంగా నడిపే సాఫ్ట్‌వేర్ విడుదల నోట్లను చదవండి, మరియు గమనించిన మార్పిడి దశను మీ సాక్ష్యంగా ఉంచండి.

ఒక ప్రయత్నాన్ని మొదటి నుండి చివరి వరకు ట్రేస్ చేయండి

సర్వర్-సైడ్ డీబగ్గింగ్ ఆన్ చేసి ఒకసారి పునరుత్పత్తి చేయండి, మరియు మిగిలిన ప్రతి సెషన్‌ను క్యాప్చర్ విండో వెలుపల ఉంచండి:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

అవుట్‌పుట్‌లో ఒక లైన్ కాకుండా సంభాషణ ఆకారాన్ని వెతకండి. Identifier 3 తో మొదటి Access-Request, State మోసే Access-Challenge, తర్వాత ఆ State ను పునరావృతం చేసి వినియోగదారు ప్రతిస్పందనను కలిగి ఉన్న Identifier 4 తో రెండవ Access-Request. రెండవ అభ్యర్థన లేకపోతే, గేట్‌వే ఎప్పుడూ అనుసరించలేదు. అది State లేకుండా వస్తే, సర్వర్ దాన్ని వేచి ఉన్న సవాలుతో సరిపోల్చలేదు మరియు సాధారణంగా తిరస్కరిస్తుంది.

ట్రేస్ పంచుకునేటప్పుడు ఆధారాలు, టోకెన్లు మరియు అనవసరమైన గుర్తింపు డేటాను దాచండి, మరియు అనేక బ్రౌజర్ ట్యాబ్‌ల పునఃప్రయత్నాలను కలపడం బదులు ఒకే ప్రయత్నం యొక్క సంఘటనలను పరస్పరం సంబంధించండి. ఇక్కడ టైమ్‌స్ట్యాంప్‌లు మీ మిత్రులు; క్లయింట్ వదిలేసిన తర్వాత వచ్చే సవాలు వినియోగదారుకు తిరస్కరంగా మరియు లాగ్‌లో నెమ్మదైన జవాబుగా కనిపిస్తుంది.

మీకు కావలసిన తుది స్థితి పూర్తయిన, అధికారం పొందిన సంభాషణ మరియు దాని తర్వాత ఉద్దేశించిన సేవా ప్రవేశం. RADIUS సర్వర్ నుండి వచ్చే జవాబు దానికంటే చాలా తక్కువ నిరూపిస్తుంది.