Realm ng Pagpapatunay ng VPN: Aling Namespace ng Account ang Mananalo?

Bawat pag-login sa VPN ay napupunta sa ilang namespace ng account, at ang realm ang pumipili kung alin. Wala itong sinasabi tungkol sa bansa, lokasyon ng server o antas ng tiwala. Dalawang magkaparehong username ay maaaring manirahan sa magkaibang realm, kaya minsan ang tamang password ay nagpapatunay sa maling account. Ang runbook na ito ay inaayos muna ang anyo ng pagkakakilanlan, pagkatapos ay sinusubaybayan ang kahilingan hanggang sa sistemang talagang sumagot.

Ano ang Pinipili ng Realm

Tumanggap ang gateway ng username at kailangang magpasya kung saan ito titingnan. Ang realm ay ang bahagi ng pangalang iyon, o ang attribute sa tabi nito, na pumipili ng database: isang direktoryo, isang RADIUS pool, isang lokal na file ng account. Tinatawag ito ng NPS ng Microsoft na pangalan ng realm at ginagamit ito sa pag-route ng mga kahilingan sa koneksyon, habang ang EAP network access identifier ay nagdadala ng parehong ideya bilang suffix pagkatapos ng at sign sa RFC 7542. Pareho silang tagapili, at wala sa kanila ang nagpapasya kung maganda ang credential.

Ang paghihiwalay na ito ay gumagawa ng dalawang magkaibang pagkabigo. Ang realm na nagru-route nang tama na may maling password ay nagbibigay ng isang pagtanggi, samantalang ang realm na nagru-route sa maling database ay maaaring tumanggi sa tamang password o tumanggap ng password ng iba. Wala sa mga error ang binabanggit ang realm, kaya ang unang diagnosis ay palaging pareho: alamin kung aling sistema ang sumagot.

Ang sintaks ng realm ay pag-aari ng deployment. Ang ilang serbisyo ay gusto ng hindi kwalipikadong pangalan at attribute, ang iba ay gusto ng user@domain, at kakaunti ang umaasa sa anyong may backslash na hindi binabanggit ng karamihan ng gabay.

Gamitin ang Anyong Inaasahan ng Backend

Tanungin ang operator kung aling anyo ang ita-type bago subukan ang mga suffix mula sa tutorial. Ang pangalang may domain na nakarating sa backend na umaasa ng simpleng pangalan ay karaniwang nabibigo sa paghahanap, hindi sa pagsusuri ng password. Ang parehong maikling pangalan sa dalawang direktoryo ang kaso kung saan ang nawawalang realm ay gumagawa ng pinakamalaking pinsala.

Huwag ituring na patunay ang management account. Ang web console kung saan mo pinamamahalaan ang serbisyo ay maaaring magpatunay laban sa lokal na file, samantalang ang tunnel ay tumitingin sa ganap na ibang direktoryo. Subukan gamit ang mga credential na gagamitin ng tunay na gumagamit, sa interface na gagamitin ng tunay na gumagamit. Ang matagumpay na pag-login sa console ay walang sinasabi tungkol sa realm na inilalapat ng gateway sa pagpapatunay ng VPN.

Minsan ang mga browser at mail client ay nag-cache ng dating pagkakakilanlan at tahimik na muling isinusumite ito. Kapag ang iniulat na username ay naiiba sa nai-type, ang cache na iyon ang unang lugar na titingnan.

Subaybayan ang Kahilingan sa Pamamagitan ng Proxy

Sa front end ng FreeRADIUS, ang mga realm ay idinedeklara sa configuration ng proxy, at ang idineklarang suffix ang nagpapasya kung aling home server ang tatanggap ng kahilingan. Basahin ang file na iyon bago magbago ng anuman, dahil ang kahilingang hindi tumutugma sa anumang realm ay hinahawakan nang lokal bilang default.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

Ipinapakita ng grep kung aling mga suffix ang umiiral at aling pool ang pinupuntirya ng bawat isa. Ang tawag na radtest ay nagpapadala ng pangalang may realm at sadyang maling password, kaya ang pagtanggi ay nagpapatunay na parehong tumakbo ang routing at ang pagsusuri ng credential. Ang mga linya ng journal sa paligid ng pagtatangkang iyon ay nagpapakita kung ang pangalan ay tinanggal bago ang proxy at aling home server ang kumuha nito. Kung ang log ay walang ipinapakitang tugma ng realm, hindi kailanman umalis ang kahilingan sa lokal na server at ang suffix ang problema, hindi ang password.

Baguhin ang isang bagay sa isang pagkakataon at ulitin ang pagtatangka, dahil hinihiwalay lamang ng log ang routing mula sa pagkabigo ng credential kapag magkaiba ang input sa pagitan ng mga run. Itago ang shared secret sa labas ng shell history kung saan sinusuportahan ng tool ang pagbasa mula sa file o prompt.

Itala ang Pagtatangka Nang Hindi Ito Nailalabas

Isulat ang pagkabigo sa anyong maaaring kilosan ng administrator: ang interface, ang anyo ng pagkakakilanlan, kung may realm, at ang eksaktong error na hindi lihim. Itago ang live na username sa labas ng pampublikong ulat at panatilihin ang realm sa loob. Ang pag-redact ng bawat pagkakakilanlan sa parehong placeholder ay nagtatago ng eksaktong hindi pagtutugma na hinahanap mo. Mahalaga rin ang timestamp, dahil magkahiwalay ang log ng gateway, proxy at direktoryo.

Pagkatapos, idokumento sa mga gumagamit ang nanalong anyo, dahil ang susunod na taong magta-type nito nang mali ay magbubukas ng parehong ticket. Hindi inaayos ng pag-reset ng password ang kahilingang patuloy na napupunta sa maling namespace. Ang realm ay isang desisyon sa routing, at ang mga desisyon sa routing ay inaayos sa pamamagitan ng pagpangalan sa kanila nang tama.