EAP deur 'n VPN-gateway: wie termineer die metode

Hulpbrontkaartjies beskryf 'n mislukte VPN-aanmelding en 'n RADIUS-beleid wat 'n sterker metode vereis asof dit dieselfde probleem is, maar dit is nie. Die gateway aanvaar óf 'n geloofsbrief en stuur dit aan, óf hy dra 'n EAP-gesprek tussen die kliënt en die verifikasiebediener. Watter een van die twee gebeur, bepaal of 'n verandering aan die bedienerkant enigiets kan regstel. Lees die uitruiling voordat jy die bedienergroep wysig.

Twee verifikasiepaaie wat in 'n logboek eenders lyk

In die eerste pad versamel die VPN-gateway 'n gebruikersnaam en wagwoord en stuur 'n RADIUS Access-Request met 'n wagwoordkenmerk. Die verifikasiebediener vergelyk dit met sy geloofsbriefstoor en antwoord aanvaar of verwerp. Die kliënt voer nooit 'n EAP-metode uit nie, want niks het dit gevra nie.

In die tweede pad voer die kliënt en die verifikasiebediener die EAP-metode van begin tot einde uit, en die gateway stuur EAP-Message-kenmerke tussen hulle aan. Die gateway termineer steeds die buitenste RADIUS-gesprek, maar die metodologie lê by die twee eindpunte.

Albei paaie lewer 'n reël in 'n logboek wat sê dat verifikasie misluk het. Slegs die tweede een kan geraak word deur watter EAP-metode die bediener verkies, en slegs die eerste deur hoe die gateway die wagwoord lees. Om hulle as uitruilbaar te behandel, is hoe spanne 'n dag spandeer om bedienergroepe te verander vir 'n kliënt wat nooit PEAP sou praat nie.

Waar die metode werklik loop

RFC 3579 definieer die deurgee-reëling: die NAS dra EAP-pakkette in RADIUS-kenmerke en het nie metode-spesifieke kode vir elke EAP-tipe nodig nie. Daarom kan 'n gateway PEAP en EAP-TLS ondersteun sonder om enige van die twee te implementeer.

'n Gateway wat 'n wagwoord instuur, dra nie PEAP nie, selfs al sou die backend PEAP van 'n ander kliënt aanvaar. Om PEAP in die bedienerbeleid te aktiveer, voeg nie 'n metode by 'n kliënt wat nooit een aangebied het nie.

PPP-verifikasie-instellings hoort by die PPP-diens. Hulle herkonfigureer nie stilweg elke IPsec- of ouerwetse XAuth-pad wat dieselfde AAA-bediener gebruik nie, so 'n verandering wat vir een toegangstipe werk, kan die ander onaangeraak laat.

Wat die NAS moet ondersteun

Deurgee verskuif die vereiste van metodekode na draerondersteuning. Die gateway moet EAP oor sy VPN-protokol kan dra, en die RADIUS-kliënt daarop moet EAP-Message-kenmerke van die betrokke groottes kan stuur en ontvang.

Vir IKEv2 is EAP deel van 'n gedefinieerde verifikasievloei, en die bedieneridentiteit- en vertrouenskontroles kom uit daardie vloei. 'n PEAP-etiket wat by 'n 802.1X-ontplooiing geleen is, dra nie outomaties oor nie, want die onderhandeling daaroor verskil.

Die kliëntkant het ook vereistes. Dit moet vir die metode opgestel wees, die bedienersertifikaat wat die metode aanbied vertrou, en geloofsbriewe hê wat die metode kan gebruik. 'n Sertifikaatgebaseerde metode sonder 'n kliëntsertifikaat misluk voordat RADIUS enigiets sien, wat 'n voorsieningsprobleem is eerder as 'n bedienerbeleidsprobleem.

Lees een poging voordat jy beleid verander

Vang 'n enkele goedgekeurde poging by die gateway en by die verifikasiebediener op. Soek na EAP-Message-kenmerke in die RADIUS-versoek. Hul teenwoordigheid sê dat die deurgee-pad in gebruik is; hul afwesigheid dui op 'n geloofsbriefuitruiling.

Op 'n Linux-gateway wys 'n opname op die RADIUS-poort watter kenmerke op die draad is:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Vergelyk dan die verwerpingspunt. 'n Mislukking by die gateway voordat enige RADIUS-pakket gestuur is, beteken die kliënt en die gateway het nie oor die metode saamgestem nie. 'n RADIUS-verwerping met EAP-kenmerke beteken die eindpunte het die metode uitgevoer en een van hulle het die resultaat geweier.

Beplan die migrasie as een end-tot-end verandering

Om die metode te verander, beteken om die kliëntkonfigurasie, die gateway se draerondersteuning, die bediener se metodologie en die geloofsbriefstoor saam te verander. Doen dit in daardie orde en hou 'n werkende pad totdat die nuwe een bewys is. 'n Verandering net aan die bedienerkant is 'n raaiskoot, en dit breek gewoonlik die kliënte wat gewerk het. Stel die verandering op een toetsidentiteit voor jy die groep aanraak.

Teken die kombinasie aan wat werk: VPN-protokol, EAP-draer, eweknie-metode, bediener-metode, geloofsbrieftipe en bedieneridentiteitskontrole.

Hou administratiewe aanmeld-AAA apart van VPN-verifikasie tensy die taak dit eksplisiet beide insluit. 'n Verandering wat vir afstandtoegang bedoel is, moet nie jou vermoë wegneem om die toestel te bestuur wat dit termineer nie.