Bí ìwọlé VPN ṣe dé RADIUS àti olùpèsè ìdánimọ̀ rẹ

Ní ọ̀sẹ̀ tó kọjá, olùlò kan lè wọlé sí VPN, síbẹ̀ ó dé orí nẹ́tíwọ́kì kan tí kò sí ohun tí ń yanjú. Aṣàkóso náà sọ pé ó ti so pọ̀, lọ́gì ẹnubodè náà sọ pé Access-Accept, ẹ̀ka ìdánimọ̀ sì sọ pé àkọsílẹ̀ náà wà ní jẹ́jẹ́. Ìwọlé náà ti ṣiṣẹ́; àṣẹ tó wà lẹ́yìn rẹ̀ kò ṣiṣẹ́. Nígbà tí ìwọlé VPN bá kùnà, mo ń tẹ̀lé ọ̀nà tí ìbéèrè náà ń gbà ní ti gidi — aṣàkóso, ẹnubodè, sáfà RADIUS, olùpèsè ìdánimọ̀ — mo sì dúró ní ìgbésẹ̀ àkọ́kọ́ tí ìdáhùn rẹ̀ kò bá ti ẹ̀yìn mu.

Aṣàkóso kì í sọ RADIUS rárá

Ohunkóhun tí áàpù náà lórí kọ̀mpútà ìgbàlódé bá fi hàn, ìgbésẹ̀ àkọ́kọ́ rẹ̀ ni ìlànà VPN: IKEv2, OpenVPN, WireGuard tàbí aṣàkóso tó dá lórí TLS. RADIUS kò farahàn nínú ìpààrọ̀ yẹn. Aṣàkóso náà ń jẹ́rìí ara rẹ̀ ní ẹnubodè pẹ̀lú ẹ̀rí, orúkọ olùlò àti ọ̀rọ̀ ìpamọ́, tàbí ọ̀nà EAP tí a ń gbé nínú ìṣètò ọ̀nà àbẹ́ẹ̀.

Ìyẹn ṣe pàtàkì nígbà tí a bá ń ka lọ́gì, nítorí àṣìṣe ìjẹ́rìí gbogbogbò tí olùlò náà rí ni ẹnubodè ń dá lẹ́yìn tí ó ti bá ohun mìíràn sọ̀rọ̀. Bí aṣàkóso kò bá dé ẹnubodè rárá, kò sí ìbéèrè RADIUS láti ṣàtúnṣe, wákàtí kan lórí sáfà RADIUS sì ń di òfò. Jẹ́rìí pé ọ̀nà àbẹ́ẹ̀ náà ti dìde rárá kí o tó fọwọ́ kan ẹ̀yìn.

Ẹnubodè ni aṣàkóso RADIUS

Ní kété tí ìṣètò ọ̀nà àbẹ́ẹ̀ bá dé ibi tí a gbọ́dọ̀ yẹ ẹ̀rí ìwọlé wò, ẹnubodè di sáfà ààyè nẹ́tíwọ́kì. Ó ń kọ́ Access-Request: User-Name, ọ̀rọ̀ ìpamọ́ tàbí ẹrù EAP, NAS-IP-Address tàbí NAS-Identifier, àti Message-Authenticator nígbà tí ọ̀nà náà bá béèrè. Ìbéèrè náà ń lọ sí UDP 1812 ní àìdá, ìṣirò sì ń lọ sí 1813. Àwọn ìṣètò àtijọ́ ṣì ń lo 1645 àti 1646, nítorí náà ìlànà odi iná tí a kọ fún bàdí kan ń ṣàlàyé ọ̀pọ̀ ìkùnà tó dákẹ́.

Àwọn ẹ̀gbẹ́ méjèèjì ń pín àṣírí kan, kì í sì í ṣe ẹ̀rí olùlò. Ó ń fi ọwọ́ sí ìpààrọ̀ náà, a sì ń ṣàyẹ̀wò gbogbo ìdáhùn lòdì sí i. Ṣètò àṣírí náà yàtọ̀ ní ẹ̀gbẹ́ méjèèjì, sáfà kò ní dáhùn pẹ̀lú àṣírí búburú — ó ń ju ìbéèrè náà nù tàbí ìdáhùn kò kọjá àyẹ̀wò, nítorí náà ẹnubodè ń ròyìn àkókò tó kù. Àṣírí tí kò tọ́ àti sáfà tó kú ń hàn bíkan náà láti ẹnubodè, nítorí náà mo ń fi irinṣẹ́ aṣàkóso dán ìgbésẹ̀ náà kí n tó dá àtẹ̀wé náà lẹ́bi.

Ìlànà náà kéré, ó sì ti pẹ́ — RFC 2865 ń ṣàlàyé ìpààrọ̀ ìjẹ́rìí — ṣùgbọ́n àwọn ànímọ́ tí ó ń gbé ni ìpìlẹ̀ tí a gbé ọ̀pọ̀ ìlànà VPN ka.

# ask the RADIUS server directly, from the gateway host
radtest alice 'test-password' 127.0.0.1 0 testing123

# watch the exchange the gateway actually sends
tcpdump -ni any -c 20 'udp port 1812'

Sáfà RADIUS lè jẹ́ ojú iwájú olùpèsè ìdánimọ̀ nìkan

Àwọn ènìyàn ń sọ̀rọ̀ nípa RADIUS àti olùpèsè ìdánimọ̀ bí ẹni pé àpótí kan náà ni wọ́n. Ní ọ̀pọ̀ ìgbà kì í rí bẹ́ẹ̀. Sáfà RADIUS ń gba Access-Request, lẹ́yìn náà ó ń béèrè ohun mìíràn kí ó tó dáhùn — Active Directory nípasẹ̀ LDAP tàbí Kerberos, fáìlì olùlò àdúgbò tàbí iṣẹ́ ìta. FreeRADIUS pẹ̀lú mọ́dùùlù LDAP tàbí krb5, Windows NPS àti Cisco ISE gbogbo wọ́n dúró ní ipò yìí.

Ìyàtọ̀ náà ń pinnu ibi tí o máa wò. Ọ̀rọ̀ ìpamọ́ tí a kọ̀ jẹ́ ìdáhùn olùpèsè ìdánimọ̀ tí RADIUS ń gbé lọ. Àkókò tó kù máa ń jẹ́ apá RADIUS-sí-àtẹ̀wé: àkọsílẹ̀ bind tó ti kọjá, àtẹ̀wé tí kò lè dé, tàbí ìbéèrè tí a darí sí ẹ̀yìn tí kò tọ́. Bí orúkọ olùlò bá ní àfikún ìkórè, sáfà lè ṣe ọ̀nà lórí rẹ̀, àkọsílẹ̀ kan náà tí a fi ránṣẹ́ gẹ́gẹ́ bí CORP\alice àti [email protected] sì lè já sí ibi ọ̀tọ̀ọ̀tọ̀. Nínú Windows NPS, lọ́gì Security ń ṣàkọsílẹ̀ 6272 fún ìfúnni àti 6273 fún ìkọ̀, èyí tí ó ń sọ bóyá ìpinnu náà wá láti NPS.

Ka ìkùnà ní ìgbésẹ̀ tó dá a

Ìfiránṣẹ́ kan náà pé a kò lè so pọ̀ ń bo ìkùnà mẹ́rin ọ̀tọ̀ọ̀tọ̀. Kí o tó yí ohunkóhun padà, so àmì náà mọ́ ìgbésẹ̀ tó dá a.

Ìlà tó gbẹ̀yìn ni èyí tí ó ń rán àwọn ènìyàn sí ẹ̀ka tí kò tọ́. Access-Accept túmọ̀ sí pé a tẹ́wọ́ gba ẹ̀rí náà; kò túmọ̀ sí pé ẹnubodè ti fi olùlò náà sínú àdúpọ̀ tó tọ́ tàbí ti ta àwọn ọ̀nà. Àwọn ànímọ́ ẹ̀ka ṣe pàtàkì nìkan bí ìlànà ẹnubodè bá ń kà wọ́n. Mo ti rí ìwọlé tó tọ́ tí ó já sínú àdúpọ̀ àlejò nítorí pé a ṣètò àwòrán ẹ̀ka ní ẹ̀gbẹ́ RADIUS fún ànímọ́ mìíràn ju èyí tí ẹnubodè ń yẹ̀wò.

Tẹ̀lé ìwọlé kan láti ìbẹ̀rẹ̀ dé òpin

Yan àkọsílẹ̀ ìdánwò kan àti ẹnubodè kan, lẹ́yìn náà wo ìgbìyànjú kan náà ní ibi mẹ́rẹ̀ẹ̀rin. Bẹ̀rẹ̀ ìṣàtúnṣe ní ẹ̀gbẹ́ RADIUS — freeradius -X ń tẹ ìbéèrè náà àti gbogbo mọ́dùùlù tí ó fọwọ́ kàn — tẹ̀lé lọ́gì ìjẹ́rìí ẹnubodè, kí o sì ṣe tcpdump fún ìpààrọ̀ UDP. So pọ̀ lẹ́ẹ̀kan kí o sì ka àwọn ipasẹ̀ mẹ́rẹ̀ẹ̀rin ní ìtẹ̀lé.

Ohun tí o fẹ́ rí ni ìfọwọ́sowọ́pọ̀: ẹnubodè béèrè nípa olùlò tí o retí, sáfà RADIUS yan ẹ̀yìn tí o retí, ẹ̀yìn yẹn dá ìpinnu padà, àwọn ànímọ́ nínú ìdáhùn sì bá ìlànà tí ẹnubodè ń lò mu. Ibi àkọ́kọ́ tí àwọn ipasẹ̀ kò bá ara wọn mu ni ìlà àṣìṣe rẹ. Bí ìdáhùn kò bá gbé ànímọ́ ẹ̀ka, ìṣòro wà ní ẹ̀gbẹ́ RADIUS, kì í ṣe nínú prófáìlì VPN; bí ànímọ́ bá wà tí ẹnubodè sì ń gbà á lójú, ìlànà ẹnubodè ni ìṣòro.

Àkọsílẹ̀ ààbò kan nígbà tí o wà níbẹ̀. Àṣírí tí a pín ń dáàbò bo ìpààrọ̀, ṣùgbọ́n kò ń fi àwọn ànímọ́ púpọ̀ pamọ́. Bí ẹnubodè àti sáfà RADIUS bá wà ní apá ọ̀tọ̀ọ̀tọ̀, gbé ìgbésẹ̀ yẹn sórí RADIUS nípasẹ̀ TLS tàbí ọ̀nà àdáni. Ọ̀nà àbẹ́ẹ̀ olùlò tí a fi pamọ́ kò sọ ohunkóhun nípa ìsopọ̀ ẹ̀yìn.

Kí o tó pa tikẹ́ẹ̀tì náà, jẹ́rìí àwọn ohun mẹ́rin. Ẹnubodè lè dé sáfà RADIUS ní ibùdókọ̀ tí a ti ṣètò rẹ̀ ní ti gidi. Àṣírí tí a pín bá ara wọn mu ní ẹ̀gbẹ́ méjèèjì. Sáfà RADIUS ń yanjú irú orúkọ olùlò gan-an tí ẹnubodè ń fi ránṣẹ́. Ìtẹ́wọ́gbà ń gbé àwọn ànímọ́ tí ìlànà ẹnubodè nílò. Nígbà tí gbogbo mẹ́rẹ̀ẹ̀rin bá tọ́, ìwọlé tí ó ṣì ń kùnà jẹ́ ìṣòro ìlànà ẹnubodè, kì í ṣe ìjẹ́rìí.