FreeRadius Notes - История изменений

Sirmax: /* По шагам */

2024-03-20T18:16:26Z

По шагам

← Предыдущая		Версия 18:16, 20 марта 2024
Строка 517:		Строка 517:
	<BR>		<BR>
	Если такое поведение не желательно, то его можно обойти с помощью "волшебного" значения <code>Auth-Type</code>, <code>Accept</code>,		Если такое поведение не желательно, то его можно обойти с помощью "волшебного" значения <code>Auth-Type</code>, <code>Accept</code>,
−	которое позволяет пропустить секцию <code>authenticate<code>	+	которое позволяет пропустить секцию <code>authenticate</code>

	Если нужно реализовать такое поведение и не вызывать модуль <code>rlm_pap</code>:		Если нужно реализовать такое поведение и не вызывать модуль <code>rlm_pap</code>:

Sirmax: /* По шагам */

2024-03-20T18:16:03Z

По шагам

← Предыдущая		Версия 18:16, 20 марта 2024
Строка 511:		Строка 511:
	Теперь можно вернуться к вопросу что не так с конструкцией <code> User-Password == "test" </code>		Теперь можно вернуться к вопросу что не так с конструкцией <code> User-Password == "test" </code>
	* Модуль <code>rlm_pap</code> в секции <code> authorize</code> выставит code>Auth-Type</code> в значение <code>PAP</code> так как в запросе присутствует <code> User-Password</code>		* Модуль <code>rlm_pap</code> в секции <code> authorize</code> выставит code>Auth-Type</code> в значение <code>PAP</code> так как в запросе присутствует <code> User-Password</code>
−	* Модуль <code>rlm_pap</code> в секции <code> authenticate </code> попробует сравнить найти в списке атрибутов ~~<code>config</code> один из "известных хороших" атрибутов с паролем, например <code>Cleartext-Password</code>~~	+	* Модуль <code>rlm_pap</code> в секции <code> authenticate</code> попробует сравнить найти в списке атрибутов
		+	<code>config</code> один из "известных хороших" атрибутов с паролем, например <code>Cleartext-Password</code>
	или любой другой, и не найдя их вернет статус <code>Reject</code>		или любой другой, и не найдя их вернет статус <code>Reject</code>

Sirmax: /* По шагам */

2024-03-20T18:15:27Z

По шагам

← Предыдущая		Версия 18:15, 20 марта 2024
Строка 508:		Строка 508:
	* Если ни один из модулей не выставил атрибут <code>Auth-Type</code> то запрос будет отброшен (Rejected)		* Если ни один из модулей не выставил атрибут <code>Auth-Type</code> то запрос будет отброшен (Rejected)

		+	<BR>
−	So to answer your second question, you're forcing pap authentication, which is wrong, you should let rlm_pap set the Auth-Type by listing pap after the files module in the authorize section.
		+	Теперь можно вернуться к вопросу что не так с конструкцией <code> User-Password == "test" </code>
		+	* Модуль <code>rlm_pap</code> в секции <code> authorize</code> выставит code>Auth-Type</code> в значение <code>PAP</code> так как в запросе присутствует <code> User-Password</code>
		+	* Модуль <code>rlm_pap</code> в секции <code> authenticate </code> попробует сравнить найти в списке атрибутов <code>config</code> один из "известных хороших" атрибутов с паролем, например <code>Cleartext-Password</code>
		+	или любой другой, и не найдя их вернет статус <code>Reject</code>

		+	<BR>
−	When rlm_pap runs in authenticate, it looks for a member of the set of 'reference' passwords described above, and if it can't find one, it rejects the request, this is what's happening above.
		+	Если такое поведение не желательно, то его можно обойти с помощью "волшебного" значения <code>Auth-Type</code>, <code>Accept</code>,
−
		+	которое позволяет пропустить секцию <code>authenticate<code>
−	There's also a 'magic' <code>Auth-Type</code>, <code>Accept</code>, which skips the authenticate section completely and just accepts the user. If you want the used to do cleartext password comparison without rlm_pap, you can use:

		+	Если нужно реализовать такое поведение и не вызывать модуль <code>rlm_pap</code>:
	<PRE>		<PRE>
	shad Auth-Type := Accept, User-Password == "test"		shad Auth-Type := Accept, User-Password == "test"

Sirmax: /* authenticate */

2024-03-20T18:06:27Z

authenticate

@@ Строка 476: / Строка 476: @@
 <BR>
 Какой именно модуль будет использоваться определяется значением атрибута <code>Auth-Type</code>
 ==<code>Post-Auth</code>==

Sirmax: /* По шагам */

2024-03-20T18:02:14Z

По шагам

← Предыдущая		Версия 18:02, 20 марта 2024
Строка 482:		Строка 482:

	==По шагам==		==По шагам==
		+	* Модули в секции <code>authorize</code> проверяют запрос
−	The modules in authorize examine the request, and if they think they can authenticate the user, and Auth-Type is not set, they set it to themselves. For example the rlm_pap module will set Auth-Type = 'pap' if it finds the User-Password in the request.
		+	* Если запрос удовлетворяет условиям (модуль "думает" что знает как работать с запросом на стадии <code> authenticate</code>) и атрибут <code>Auth-Type</code> еще не установлен то модуль выставляет атрибут <code>Auth-Type </code> (значение атрибута зависит от модуля)
−
		+	* В случае модуля <code>rlm_pap</code> модуль выставляет атрибут <code>Auth-Type</code> в значение <code>PAP</code> если находит в запросе атрибут <code>User-Password</code>
−	If no <code>Auth-Type</code> is set the request will be rejected.
		+	* Если ни один из модулей не выставил атрибут <code>Auth-Type</code> то запрос будет отброшен (Rejected)

	So to answer your second question, you're forcing pap authentication, which is wrong, you should let rlm_pap set the Auth-Type by listing pap after the files module in the authorize section.		So to answer your second question, you're forcing pap authentication, which is wrong, you should let rlm_pap set the Auth-Type by listing pap after the files module in the authorize section.

Sirmax: /* authenticate */

2024-03-20T16:38:24Z

authenticate

← Предыдущая		Версия 16:38, 20 марта 2024
Строка 473:		Строка 473:

	==<code>authenticate</code>==		==<code>authenticate</code>==
−	<code>Authenticate</code> is ~~where~~ a ~~specific~~ ~~module~~ ~~is called to perform~~ authentication~~. The module is determined by Auth-Type~~.	+	<code>Authenticate</code> это секция где происходит вызов модуля <code>authentication</code>.
		+	<BR>
		+	Какой именно модуль будет использоваться определяется значением атрибута <code>Auth-Type</code>


		+	==<code>Post-Auth</code>==
−	<code>Post-Auth</code> is mainly for logging, and applying further policies, the modules run in Post-Auth are determined by the response returned from the module run in Authenticate.
		+	<code>Post-Auth</code> используется в основном для логгирования и примерения других политик (а может и вообще не использоваться), список модулей запускаемых в этой секции определяются результатами работы модулей в секции <code>authenticate</code>

		+	==По шагам==
	The modules in authorize examine the request, and if they think they can authenticate the user, and Auth-Type is not set, they set it to themselves. For example the rlm_pap module will set Auth-Type = 'pap' if it finds the User-Password in the request.		The modules in authorize examine the request, and if they think they can authenticate the user, and Auth-Type is not set, they set it to themselves. For example the rlm_pap module will set Auth-Type = 'pap' if it finds the User-Password in the request.

Sirmax: /* authorize */

2024-03-20T16:34:43Z

authorize

← Предыдущая		Версия 16:34, 20 марта 2024
Строка 467:		Строка 467:

	==<code>authorize</code>==		==<code>authorize</code>==
−	<code>authorize</code> is ~~the~~ ~~information~~ ~~gathering~~ ~~section~~.	+	Секция <code>authorize</code> предназначена для сборки информации о пользователе.
		+	Например в этой секции:
−	This is where database lookups are done to authorise the user, and to retrieve reference passwords.
		+	* Может происходить запрос к базе данных для проверки существования пользователя и получения его пароля.
−	It's also where Auth-Type is determined, that is, the type of authentication we want to perform for the user.
		+	* В этой секции определяется значение атрибута <code>Auth-Type</code> на основании которого будет производиться дальнейшая обработка запроса в секции <code>authentication</code>

	==<code>authenticate</code>==		==<code>authenticate</code>==

Sirmax: /* Auth-Type */

2024-03-20T16:31:37Z

Auth-Type

← Предыдущая		Версия 16:31, 20 марта 2024
Строка 460:		Строка 460:
	<BR>		<BR>

−	На сервере есть три основных раздела для обработки запросов ~~'authorize', 'authenticate', 'post-auth'.~~	+	На сервере есть три основных раздела для обработки запросов
		+	* authorize
		+	* authenticate
		+	* post-auth
		+	и этот список атрибутов <code>control</code> используется для передачи атрибутов между разными разделами.

	==<code>authorize</code>==		==<code>authorize</code>==

Sirmax: /* Auth-Type */

2024-03-20T16:30:27Z

Auth-Type

← Предыдущая		Версия 16:30, 20 марта 2024
Строка 456:		Строка 456:
	==<code>Auth-Type</code>==		==<code>Auth-Type</code>==

		+	<code>Auth-Type</code> это атрибут который может помещаться только в список атрибутов <code>control</code>, <BR>
−	<code>Auth-Type</code> is strictly a control pair. It should not be present in any of the other lists.
		+	и никогда не помещаться ни в какие другие списки.
		+	<BR>

−	~~There~~ ~~are~~ ~~three~~ ~~main~~ ~~sections~~ in ~~the~~ ~~server~~ ~~for dealing with requests~~ 'authorize', 'authenticate', 'post-auth'.	+	На сервере есть три основных раздела для обработки запросов 'authorize', 'authenticate', 'post-auth'.

	==<code>authorize</code>==		==<code>authorize</code>==

Sirmax: /* User-Password */

2024-03-20T16:28:38Z

User-Password

← Предыдущая		Версия 16:28, 20 марта 2024
Строка 447:		Строка 447:
	<BR>		<BR>
	Можно было бы предположить, что если указать <code>User-Password == "test"</code> то конструкция заработает<BR>		Можно было бы предположить, что если указать <code>User-Password == "test"</code> то конструкция заработает<BR>
		+	К сожалению, это не так.
−	. Unfortunately it won't.
−	If the password matches then the entry will match, but the user will still be rejected, see below for why.
	<BR>		<BR>
		+	Действительно, пользователей будет соответствовать и пароль на этой стадии пройдет проверку, но далее все равно пользователь (за исключением специальных конфигураций) получит <code>Reject</code>
		+	<BR>
		+	<BR>
		+	Ниже подробности как и почему это происходит.

	==<code>Auth-Type</code>==		==<code>Auth-Type</code>==