VPN autentifikatsiya sohasi: qaysi hisob nom maydoni g'alaba qozonadi?

Har bir VPN kirishi qandaydir hisob nom maydoniga tushadi va soha qaysi biriga tushishini hal qiluvchi selektordir. U mamlakat, server joylashuvi yoki ishonch darajasi haqida hech narsa aytmaydi. Ikki bir xil foydalanuvchi nomi turli sohalarda yashashi mumkin, shuning uchun to'g'ri parol ba'zan noto'g'ri hisobni autentifikatsiya qiladi. Bu qo'llanma avval shaxs shaklini belgilaydi, so'ngra so'rovni haqiqatda javob bergan tizimgacha kuzatadi.

Soha nimani tanlaydi

Shlyuz foydalanuvchi nomini oladi va uni qayerda tekshirishni hal qilishi kerak. Soha — bu nomning bir qismi yoki uning yonidagi atribut bo'lib, ma'lumotlar bazasini tanlaydi: katalog, RADIUS hovuzi yoki mahalliy hisob fayli. Microsoft NPS buni soha nomi deb ataydi va u bilan ulanish so'rovlarini yo'naltiradi, EAP tarmoq kirish identifikatori esa xuddi shu g'oyani RFC 7542 da at belgisidan keyingi qo'shimcha sifatida olib yuradi. Ikkisi ham selektor va hech biri hisob ma'lumotlari yaxshimi-yo'qmi deb hal qilmaydi.

Bu ajratish ikki juda boshqacha nosozlikni keltirib chiqaradi. To'g'ri yo'naltiruvchi soha noto'g'ri parol bilan bitta rad javobini beradi, noto'g'ri ma'lumotlar bazasiga yo'naltiruvchi soha esa to'g'ri parolni rad etishi yoki boshqa birovnikini qabul qilishi mumkin. Hech bir xato sohani tilga olmaydi, shuning uchun birinchi diagnostika doim bir xil: qaysi tizim javob berganini aniqlang.

Soha sintaksisi joylashtirishga tegishli. Ba'zi xizmatlar malakasiz nom va atributni xohlaydi, boshqalari user@domain ni xohlaydi, ozchiligi esa ko'pchilik qo'llanmalar tilga olmaydigan teskari chiziqli shaklni kutadi.

Orqa qism kutgan shakldan foydalaning

Qo'llanmadagi qo'shimchalarni sinashdan oldin operatordan qaysi shaklni yozishni so'rang. Oddiy nom kutayotgan orqa qismga yetib boradigan domen bilan malakalangan nom odatda parolni tekshirishda emas, qidiruvda muvaffaqiyatsiz bo'ladi. Ikki katalogda bir xil qisqa nom — soha yo'qligi eng katta zarar keltiradigan holat.

Boshqaruv hisobini dalil deb hisoblamang. Xizmatni boshqaradigan veb-konsol mahalliy faylga qarshi autentifikatsiya qilishi mumkin, tunnel esa butunlay boshqa katalogni tekshiradi. Haqiqiy foydalanuvchi ishlatadigan hisob ma'lumotlari bilan, haqiqiy foydalanuvchi ishlatadigan interfeysda sinang. Konsolga muvaffaqiyatli kirish shlyuz VPN autentifikatsiyasiga qo'llaydigan soha haqida hech narsa aytmaydi.

Brauzerlar va pochta mijozlari ba'zan oldingi shaxsni keshlab, uni jimgina qayta yuboradi. Bildirilgan foydalanuvchi nomi kiritilganidan farq qilsa, birinchi navbatda o'sha keshni ko'ring.

So'rovni proksi orqali kuzatib boring

FreeRADIUS old qismida sohalar proksi konfiguratsiyasida e'lon qilinadi va e'lon qilingan qo'shimcha qaysi uy serveri so'rovni olishini hal qiladi. Biror narsani o'zgartirishdan oldin o'sha faylni o'qing, chunki hech bir sohaga mos kelmaydigan so'rov sukut bo'yicha mahalliy ishlanadi.

grep -n -A4 '^realm' /etc/freeradius/3.0/proxy.conf
radtest '[email protected]' 'wrong-password' 10.20.30.10 0 testing123
journalctl -u freeradius --since '-10 min' | grep -iE 'realm|stripped'

grep qaysi qo'shimchalar borligini va har biri qaysi hovuzni nishonga olishini ko'rsatadi. radtest chaqiruvi sohali nom va ataylab noto'g'ri parolni yuboradi, shuning uchun rad javobi ham yo'naltirish, ham hisob ma'lumotlarini tekshirish bajarilganini isbotlaydi. O'sha urinish atrofidagi jurnal satrlari nom proksidan oldin olib tashlanganini va qaysi uy serveri qabul qilganini ko'rsatadi. Agar jurnalda umuman soha mosligi ko'rinmasa, so'rov mahalliy serverni hech qachon tark etmagan va muammo parolda emas, qo'shimchada.

Bir vaqtning o'zida bitta narsani o'zgartiring va urinishni takrorlang, chunki jurnal yo'naltirishni hisob ma'lumotlari nosozligidan faqat kirish ishga tushirishlar orasida farq qilganda ajratadi. Umumiy sirni shell tarixidan tashqarida saqlang, asbob fayldan yoki so'rovdan o'qishni qo'llab-quvvatlaydigan joyda.

Urinishni oshkor qilmasdan qayd eting

Nosozlikni administrator chora ko'ra oladigan shaklda yozing: interfeys, shaxs shakli, soha bo'lganmi, va aniq maxfiy bo'lmagan xato. Tirik foydalanuvchi nomini ommaviy hisobotlardan tashqarida, sohani esa ichkarida saqlang. Har bir shaxsni bir xil o'rin egallovchiga o'zgartirish siz izlayotgan nomuvofiqlikni aynan yashiradi. Vaqt belgisi ham muhim, chunki shlyuz, proksi va katalog alohida jurnallar yuritadi.

So'ngra foydalanuvchilar uchun g'alaba qozongan shaklni hujjatlashtiring, chunki keyingi odam uni noto'g'ri yozsa, xuddi shu chiptani ochadi. Parolni tiklash noto'g'ri nom maydoniga tushib qolayotgan so'rovni tuzatmaydi. Soha — yo'naltirish qarori, yo'naltirish qarorlari esa ularni to'g'ri nomlash orqali tuzatiladi.