eapol_test oor 'n VPN: het die RADIUS-uitruiling Laag 2 nodig?

Vra vir 'n laboratorium-switchpoort sodat jy eapol_test kan loop en jy het die gereedskap waarskynlik verkeerd gelees. Die peer en die RADIUS-kliënt leef albei binne daardie enkele binêre lêer, so die enigste gesprek wat die masjien verlaat, is die RADIUS-uitruiling self. 'n Gerouteerde tonnel tussen die toetsgasheer en die verifikasieserver is die hele netwerkvereiste. Die fisiese 802.1X-pad is 'n ander ding wat jy dalk nog moet toets, en dit is nie hierdie een nie.

Waarom die naam mense 'n switchpoort laat soek

EAPOL is die raamformaat wat 'n supplikant en 'n switch op 'n LAN gebruik, en die gereedskap leen die naam omdat dit uit daardie wêreld gegroei het. Wat gelewer word, is 'n toetsprogram wat die peer-toestandmasjien en die RADIUS-kliënt in een proses dra, so die twee helftes van 'n 802.1X-gesprek ontmoet nooit oor 'n draad nie. Die naam is geskiedenis, nie 'n topologievereiste nie.

Mense vra steeds vir die poort omdat die program op authenticator-gedrag sit, en dit klink na hardeware. Sy gom reproduiseer die authenticator-toestandmasjien, so 'n toets voltooi sonder enige toegangspunt in die vertrek; die saamgestelde binêre lêer skakel wpa_supplicant se EAP-peer met hostapd se RADIUS-kliënt. Om die switch te verwyder verwyder die EAPOL-hop, nie die verifikasielogika nie. Wat oorbly, is 'n kliënt-server-uitruiling tussen twee IP-gashere.

Volg een RADIUS-uitruiling hop vir hop

Volg 'n enkele poging en die pad is kort. Die peer binne eapol_test produseer 'n EAP-Response vir die metode wat jy gekonfigureer het, en die RADIUS-kliënt in dieselfde proses plaas dit in 'n Access-Request, met die loonvrag in EAP-Message-kenmerke langs 'n Message-Authenticator. Daardie datagram word aan die bediener op UDP-poort 1812 gerig, en dit verlaat die gasheer soos enige ander IP-pakket, en dit is waar die tonnel inkom. Die bediener evalueer dit teen sy beleid en sy metodes-modules en antwoord dan met Access-Challenge, Access-Accept of Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Die binêre lêer neem die bedieneradres, die poort en die gedeelde geheim van die opdragreël, en die metode en geloofsbriewe van 'n wpa_supplicant-styl konfigurasieblok. Niks in daardie oproep hang van 'n Laag 2-aangrensing af nie: -a word deur roetering bereik, en 'n VPN wat dit roeteer is genoeg. As die tonnel die datagram laat val, misluk die toets presies soos teen 'n onbereikbare bediener op 'n plat LAN.

Die binêre lêer en die bedienerbeleid is verskillende lyste

Twee onafhanklike lyste bepaal of 'n metode kan slaag, en om hulle te verwar mors 'n dag. Die eerste lys word in die binêre lêer saamgestel: die boukonfigurasie kies watter EAP-metodes bestaan, so 'n bou sonder 'n metode kan dit nie beding nie, maak nie saak wat die bediener toelaat nie. Die tweede lys woon op die bediener, waar beleid sê watter van die ondersteunde metodes hierdie kliëntklas mag gebruik. 'n Slaag vereis 'n snyding, en geen lys kan 'n gaping in die ander vul nie.

Kontroleer daardie eerste lys voordat jy die bediener blameer. Soek die metode se naam in die geïnstalleerde binêre lêer, of lees die boukonfigurasie waaruit dit gekom het. As die metode afwesig is, bou weer eerder as om RADIUS-beleid te wysig; as dit teenwoordig is en die uitruiling steeds misluk, het die probleem na geloofsbriewe, beleid of sertifikaatvertroue geskuif.

Wat 'n slaag steeds nie dek nie

'n Suksesvolle lopie bewys een metode, vir een stel geloofsbriewe, teen een RADIUS-beleid, oor een netwerkpad. Dit oefen nie die radio van die toegangspunt nie, nie die EAPOL-hantering van 'n switch nie, nie die VLAN-toewysing wat op verifikasie volg nie, of die manier waarop 'n VPN-konsentrator met dieselfde bediener integreer. Daardie komponente was nooit op die getoetsde pad nie. Behandel die resultaat as begrensde bewyse, en sê watter grens dit dek wanneer jy dit rapporteer.

Die nuttige rekord is wat die bediener en die proses elkeen waargeneem het: watter metode beding is, waar die uitruiling gestop het, en wat die bediener gelog het. Hou gedeelde geheime en private sleutels uit daardie rekord.

Kontrolelys voordat jy die resultaat aanhaal

Voordat iemand die uitset as 'n goedkeuring behandel, bevestig vier dinge. Die bou sluit die metode in wat getoets word, die RADIUS-eindpunt en gedeelde geheim behoort aan die omgewing wat getoets word, die bedienerbeleid laat hierdie toetsidentiteit toe, en die netwerkpad is dieselfde klas pad wat produksiekliënte gebruik. Noem dan wat die lopie nie aangeraak het nie: toegangspunt, switch, VLAN en konsentratorintegrasie het elkeen sy eie reël in die toetsplan nodig.

Twee toetse met twee eienaars klop een dubbelsinnige goedkeuring. Die eapol_test lopie beantwoord die metode-en-bediener-vraag; die toegangsdiens beantwoord die handhawingsvraag.