VPN Kimlik Doğrulama Realm'i: Hangi Hesap Ad Alanı Kazanır?

Realm bir oturum açmayı tek bir kimlik sistemine yönlendirir, bir ülkeye değil. Ad biçimini sabitleyin, isteği proxy üzerinden izleyin ve neyin yanıt verdiğini kaydedin.

Her VPN oturum açma işlemi bir hesap ad alanına düşer ve hangisine düşeceğine realm adı verilen seçici karar verir. Realm ülke, sunucu konumu veya güven düzeyi hakkında hiçbir şey söylemez. İki özdeş kullanıcı adı farklı realm'lerde yaşayabilir, bu yüzden doğru parola bazen yanlış hesabı doğrular. Bu runbook önce kimlik biçimini sabitler, ardından isteği gerçekten yanıt veren sisteme kadar izler.

Realm Neyi Seçer

Bir ağ geçidi kullanıcı adını alır ve nerede kontrol edeceğine karar vermek zorundadır. Realm, bu adın bir parçası veya yanındaki öznitelik olup veritabanını seçer: bir dizin, bir RADIUS havuzu, yerel bir hesap dosyası. Microsoft'un NPS'i buna realm adı der ve bağlantı isteklerini onunla yönlendirir; EAP ağ erişim tanımlayıcısı ise aynı fikri RFC 7542 içinde at işaretinden sonraki son ek olarak taşır. İkisi de seçicidir ve hiçbiri kimlik bilgisinin iyi olup olmadığına karar vermez.

Bu ayrım iki çok farklı arıza üretir. Doğru yönlendiren realm yanlış parolayla tek bir ret verirken, yanlış veritabanına yönlendiren realm doğru parolayı reddedebilir veya başkasının parolasını kabul edebilir. Hiçbir hata realm'den söz etmez, bu yüzden ilk teşhis her zaman aynıdır: hangi sistemin yanıt verdiğini bul.

Realm sözdizimi kuruluma aittir. Bazı hizmetler niteliksiz bir ad artı öznitelik ister, diğerleri user@domain ister ve birkaçı çoğu kılavuzun söz etmediği ters eğik çizgili biçimi bekler.

Arka Ucun Beklediği Biçimi Kullanın

Bir öğreticiden son ekleri denemeden önce operatöre hangi biçimin yazılacağını sorun. Basit ad bekleyen bir arka uca ulaşan alan adıyla nitelikli ad genellikle parola denetiminde değil aramada başarısız olur. Aynı kısa adın iki dizinde bulunması, eksik realm'in en çok zarar verdiği durumdur.

Yönetim hesabını kanıt saymayın. Hizmeti yönettiğiniz web konsolu yerel bir dosyaya karşı kimlik doğrulayabilirken tünel tamamen farklı bir dizini denetler. Gerçek bir kullanıcının kullanacağı kimlik bilgileriyle, gerçek bir kullanıcının kullanacağı arayüzde test edin. Başarılı bir konsol oturumu, ağ geçidinin VPN kimlik doğrulamasına uyguladığı realm hakkında hiçbir şey söylemez.

Tarayıcılar ve posta istemcileri bazen önceki kimliği önbelleğe alır ve sessizce yeniden gönderir. Bildirilen kullanıcı adı yazılandan farklıysa ilk bakılacak yer o önbellektir.

İsteği Proxy Üzerinden İzleyin

Bir FreeRADIUS ön ucunda realm'ler proxy yapılandırmasında bildirilir ve bildirilen son ek isteği hangi ana sunucunun alacağına karar verir. Herhangi bir şeyi değiştirmeden önce o dosyayı okuyun, çünkü hiçbir realm ile eşleşmeyen istek varsayılan olarak yerel olarak işlenir.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep hangi son eklerin bulunduğunu ve her birinin hangi havuza yöneldiğini gösterir. radtest çağrısı realm içeren bir ad ve kasıtlı olarak yanlış bir parola gönderir, böylece bir ret hem yönlendirmenin hem de kimlik bilgisi denetiminin çalıştığını kanıtlar. O denemenin çevresindeki günlük satırları adın proxy'den önce çıkarılıp çıkarılmadığını ve hangi ana sunucunun aldığını gösterir. Günlük hiçbir realm eşleşmesi göstermiyorsa istek yerel sunucudan hiç ayrılmamıştır ve sorun parola değil son ektir.

Her seferinde tek bir şey değiştirin ve denemeyi yineleyin, çünkü günlük yönlendirmeyi kimlik bilgisi arızasından yalnızca girdi çalıştırmalar arasında farklı olduğunda ayırır. Paylaşılan sırrı, aracın dosyadan veya istemden okumayı desteklediği yerlerde kabuk geçmişinin dışında tutun.

Denemeyi Sızdırmadan Kaydedin

Arızayı bir yöneticinin harekete geçebileceği biçimde yazın: arayüz, kimlik biçimi, realm olup olmadığı ve tam olarak gizli olmayan hata. Etkin kullanıcı adını kamuya açık raporların dışında, realm'i içinde tutun. Her kimliği aynı yer tutucuya gizlemek tam olarak aradığınız uyuşmazlığı saklar. Zaman damgası da önemlidir, çünkü ağ geçidi, proxy ve dizin ayrı günlükler tutar.

Ardından kazanan biçimi kullanıcılar için belgeleyin, çünkü onu yanlış yazan bir sonraki kişi aynı bileti açar. Parola sıfırlama, yanlış ad alanına düşmeye devam eden bir isteği düzeltmez. Realm bir yönlendirme kararıdır ve yönlendirme kararları doğru adlandırılarak düzeltilir.

İlgili makaleler