VPN oturum açma, RADIUS Access-Challenge sonrasında takılıyor

Parolanız doğru, VPN oturum açma yine de başarısız oluyor ve RADIUS sunucusu muhtemelen kendisine söyleneni tam olarak yaptı. Ağ geçidi büyük olasılıkla bir Access-Challenge aldı, yararlı bir şey göstermedi, ardından zaman aşımına uğradı veya bu yanıtı ret olarak değerlendirdi. İstemci tarafından bakıldığında yanlış kimlik bilgileri veya bozuk bir tünel gibi görünüyor. Neden genellikle kimsenin kaydetmediği bir konuşmanın ortasında bulunur.

Bir oturum açma, iki RADIUS alışverişi

Arka uç ikinci bir faktör istediğinde ilk isteğe kabul veya ret ile yanıt vermez. Kod 11 ile yanıt verir ve kullanıcının bir sonraki yanıtını bekler; ağ geçidi bunu bir takip isteğinde geri göndermelidir. Bu takip isteği aynı kimlik doğrulama konuşmasına aittir, yeni bir oturum açma denemesine değil.

Çalışan bir kurulumda kullanıcı ikinci bir istem görür: önce parola, sonra tek kullanımlık kod veya işletmeci belgelendirdiyse tek bir birleşik istem. Bozuk bir kurulumda ikinci istem hiç görünmez ve oturum açma yalnızca başarısız olur.

Takip edilmesi gereken belirti budur ve yalnızca istemci tarafından doğrulamak kolaydır: VPN istemcisi tam olarak tek bir sır istiyor ve ardından geçerli olduğunu bildiğiniz bir parolayı reddediyorsa, alışveriş büyük olasılıkla meydan okumada sona ermiştir.

Meydan okuma gerçekte ne taşır

RADIUS belirtimi kod 11'i 4.4 bölümünde açıklar ve burada önemli olan iki özniteliğe izin verir. Reply-Message kullanıcıya yönelik metni tutar, State ise sunucunun geri almak istediği opak değeri tutar. NAS State'i yorumlamamalı, yalnızca değiştirmeden geri döndürmelidir.

Takip isteği yeni bir Identifier ve yeni bir Request Authenticator kullanır ve aynı State değerini artı kullanıcının yanıtını taşımalıdır. Sunucu bunu bekleyen meydan okumayla tam olarak o State üzerinden eşleştirir; bu yüzden özniteliği yeniden üreten veya düşüren bir ağ geçidi töreni tamamlayamaz. Her yanıttaki response authenticator da doğrulanmalıdır, aksi halde NAS paketi atmalıdır.

4.4 bölümü sessiz hataların çoğunu açıklayan ayrıntıyı ekler: meydan okumaları destekleyemeyen bir NAS, Access-Challenge'ı ret olarak işler. Ağ geçidinizin VPN hizmeti bu destekten eskiyse veya onu atlıyorsa, arka ucun ikinci faktör isteği herhangi bir istem olmadan anında «kimlik doğrulama başarısız» haline gelir.

Zincirlenmiş istek nerede kaybolur

İlk şüpheli kimlik bilgisi değil, istem yoludur. Web oturum açmaları için OTP alanı gösteren bir portal bunu VPN hizmeti için otomatik olarak yapmaz ve bazı ağ geçitleri meydan okumayı yalnızca bu yeteneği duyuran istemcilere iletir. Aynı hesabı iki giriş noktasında da deneyin; portal çalışıyor ve VPN çalışmıyorsa baktığınız şey aktarım, belirteç değil.

Giriş biçimi ikinci şüphelidir. Parola ile kodu satıcının belgelendirdiği ayırıcı olmadan birleştirmek veya kayıtlı kimlik bilgilerinin eski bir kodu yeniden oynatmasına izin vermek, yanlış parolayla birebir aynı görünen bir hataya yol açar. İşletmecinin belgelendirdiği ayrı istemi veya birleşik biçimi kullanın ve asla kendi ayırıcınızı uydurmayın.

Sürüme özgü kusurlar vardır, ancak yıllar önce düzeltilmiş sürümlerin listesi bugünkü dağıtım için bir teşhis değildir. Gerçekten çalıştırdığınız yazılımın sürüm notlarını okuyun ve gözlemlediğiniz alışveriş aşamasını kanıtınız olarak saklayın.

Tek bir denemeyi baştan sona izleyin

Sunucu tarafında hata ayıklama açıkken bir kez yeniden üretin ve diğer tüm oturumları yakalama penceresinin dışında tutun:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

Çıktıda tek bir satır yerine konuşmanın şeklini arayın. Identifier 3 içeren ilk Access-Request, State taşıyan bir Access-Challenge, ardından bu State'i yineleyen ve kullanıcının yanıtını içeren Identifier 4 içeren ikinci Access-Request. İkinci istek yoksa ağ geçidi hiç takip etmemiştir. State olmadan gelirse sunucu onu bekleyen meydan okumayla eşleştiremez ve genellikle reddeder.

İzi paylaşırken kimlik bilgilerini, belirteçleri ve gereksiz kimlik verilerini maskeleyin ve birkaç tarayıcı sekmesindeki yinelemeleri karıştırmak yerine tek bir denemeden gelen olayları ilişkilendirin. Burada zaman damgaları dostunuzdur; istemci pes ettikten sonra gelen bir meydan okuma kullanıcıya ret, günlüğe ise yavaş yanıt gibi görünür.

İstediğiniz son durum, tamamlanmış ve yetkilendirilmiş bir konuşma ve ardından amaçlanan hizmet erişimidir. RADIUS sunucusundan gelen bir yanıt bunun çok daha azını kanıtlar.