VPN ga kirish RADIUS Access-Challenge’dan keyin to’xtab qoladi

Parolingiz to’g’ri, shunga qaramay VPN ga kirish amalga oshmayapti va RADIUS serveri unga aytilganini aynan bajargan bo’lishi mumkin. Shlyuz Access-Challenge olgan, foydali hech narsa ko’rsatmagan, so’ngra vaqt tugagan yoki bu javobni rad deb hisoblagan bo’lishi mumkin. Mijoz tomonidan bu noto’g’ri hisob ma’lumotlari yoki buzilgan tunnel kabi ko’rinadi. Sabab odatda hech kim yozib olmagan suhbatning o’rtasida bo’ladi.

Bitta kirish, ikkita RADIUS almashinuvi

Orqa tizim ikkinchi omilni xohlasa, u birinchi so’rovga qabul yoki rad bilan javob bermaydi. U 11 kodi bilan javob beradi va foydalanuvchining keyingi javobini kutadi, shlyuz uni davomiy so’rovda qaytarib yuborishi kerak. Bu davomiy so’rov o’sha autentifikatsiya suhbatiga tegishli, yangi kirish urinishiga emas.

Ishlayotgan sozlamada foydalanuvchi ikkinchi so’rovni ko’radi: avval parol, keyin bir martalik kod yoki operator hujjatlashtirgan bo’lsa, bitta birlashtirilgan so’rov. Buzilgan sozlamada ikkinchi so’rov hech qachon chiqmaydi va kirish shunchaki amalga oshmaydi.

Aynan shu alomatni kuzatish kerak va uni faqat mijoz tomonidan tasdiqlash oson: agar VPN mijozi aynan bitta sirni so’rab, keyin siz to’g’ri deb bilgan parolni rad etsa, almashinuv ehtimol chaqiriqda tugagan.

Chaqiriq aslida nimani olib yuradi

RADIUS spetsifikatsiyasi 4.4 bo’limida 11 kodini tavsiflaydi va bu yerda muhim bo’lgan ikkita atributga ruxsat beradi. Reply-Message foydalanuvchi uchun matnni saqlaydi, State esa server qaytarib olishni istagan noaniq qiymatni saqlaydi. NAS State ni talqin qilmasligi, faqat o’zgartirmasdan qaytarishi kerak.

Davomiy so’rov yangi Identifier va yangi Request Authenticator ishlatadi va o’sha State qiymatini hamda foydalanuvchining javobini olib yurishi kerak. Server uni o’sha State orqali kutayotgan chaqiriq bilan moslashtiradi, shuning uchun atributni qaytadan yaratadigan yoki tashlab yuboradigan shlyuz marosimni tugata olmaydi. Har bir javobdagi response authenticator ham tekshirilishi kerak, aks holda NAS paketni tashlashi kerak.

4.4 bo’limi jimgina muvaffaqiyatsizliklarning ko’pini tushuntiruvchi tafsilotni qo’shadi: chaqiriqlarni qo’llab-quvvatlay olmaydigan NAS Access-Challenge ni rad deb hisoblaydi. Agar shlyuzingizning VPN xizmati bu qo’llab-quvvatlashdan eskiroq bo’lsa yoki uni tashlab ketsa, orqa tizimning ikkinchi omil so’rovi hech qanday so’rovsiz darhol «autentifikatsiya amalga oshmadi» bo’lib qoladi.

Zanjirli so’rov qayerda yo’qoladi

Birinchi gumondor hisob ma’lumotlari emas, so’rov yo’lidir. Veb kirishlar uchun OTP maydonini ko’rsatadigan portal buni VPN xizmati uchun avtomatik qilmaydi va ba’zi shlyuzlar chaqiriqni faqat shu qobiliyatni e’lon qilgan mijozlarga uzatadi. Xuddi shu hisobni ikkala kirish nuqtasida sinab ko’ring; portal ishlab, VPN ishlamasa, siz uzatishni ko’ryapsiz, tokenni emas.

Kiritish formati ikkinchi gumondor. Parol va kodni sotuvchi hujjatlashtirgan ajratgichsiz birlashtirish yoki saqlangan hisob ma’lumotlariga eski kodni qayta ijro etishga ruxsat berish noto’g’ri parolga aynan o’xshash xatoga olib keladi. Operator hujjatlashtirgan alohida so’rov yoki birlashtirilgan formatdan foydalaning va hech qachon o’zingiz ajratgich o’ylab topmang.

Nashrga xos nuqsonlar mavjud, ammo bir necha yil avval tuzatilgan versiyalar ro’yxati bugungi o’rnatish uchun tashxis emas. Haqiqatan ishlatayotgan dasturiy ta’minotning nashr eslatmalarini o’qing va kuzatilgan almashinuv bosqichini dalil sifatida saqlang.

Bitta urinishni boshidan oxirigacha kuzatib boring

Server tomonida nosozliklarni tuzatishni yoqib, bir marta qayta hosil qiling va boshqa barcha sessiyalarni ushlash oynasidan tashqarida saqlang:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

Natijada bitta satr emas, suhbat shaklini qidiring. Identifier 3 bilan birinchi Access-Request, State olib yuruvchi Access-Challenge, so’ngra o’sha State ni takrorlaydigan va foydalanuvchi javobini qamrab oladigan Identifier 4 bilan ikkinchi Access-Request. Agar ikkinchi so’rov yo’q bo’lsa, shlyuz hech qachon davom etmagan. Agar u State siz kelsa, server uni kutayotgan chaqiriq bilan moslashtira olmaydi va odatda rad etadi.

Izlarni ulashayotganda hisob ma’lumotlarini, tokenlarni va keraksiz shaxsiy ma’lumotlarni yashiring va bir necha brauzer yorlig’idagi takrorlarni aralashtirish o’rniga bitta urinish hodisalarini bog’lang. Bu yerda vaqt belgilari sizning do’stingiz; mijoz taslim bo’lgandan keyin kelgan chaqiriq foydalanuvchiga rad, jurnalda esa sekin javob bo’lib ko’rinadi.

Siz xohlagan yakuniy holat tugallangan, ruxsat berilgan suhbat va undan keyingi mo’ljallangan xizmatga kirishdir. RADIUS serveridan kelgan javob bundan ancha kamini isbotlaydi.