لماذا يرى RADIUS عنوان IP بدلاً من اسم مستخدم VPN

يتصل عميل Windows IKEv2، ويصل طلب RADIUS بعنوان حيث يجب أن يكون اسم الحساب. لم يفشل شيء بعد، وهذا هو الجزء المربك: البوابة تُبلّغ عن الهوية التي قدّمها العميل على طبقة IKE. قد يأتي اسم المستخدم الذي يريده نظامك الخلفي من تبادل EAP منفصل لم يحدث بعد. حدّد من يطلبه قبل تغيير الحساب.

هويتان تسافران في اتصال واحد

يمكن أن يظهر اسمان في اتصال واحد. تحدّد هوية IKE النظير أثناء إعداد النفق، وتنسخ إضافة eap-radius هذه الهوية مبدئياً إلى RADIUS User-Name. هوية EAP قيمة مختلفة تُستخدم لمصادقة المستخدم، وقد لا تُرسل أبداً إن لم يطلبها أحد.

لهذا يمكن أن يُظهر سجل RADIUS عنواناً بينما الحساب موجود وكلمة المرور صحيحة. يُسأل النظام الخلفي عن الطبقة الخطأ. سمة RADIUS ليست سوى الناقل للاسم الذي اختير.

اطلب من البوابة أن تطلب هوية EAP

أحد الترتيبات المدعومة يجعل البوابة تطلب هوية EAP قبل تسليم المصادقة إلى RADIUS. في قسم المصادقة عن بُعد في الاتصال، اضبط الطريقة على eap-radius واطلب هوية EAP صراحةً. المقطع أدناه ينتمي داخل كتلة اتصال قائمة، وليس في ملف خاص به. تحقّق من الاتصال وخلفية الإعداد قبل نسخ الصياغة من نشر آخر.

remote {
    auth = eap-radius
    eap_id = %any
}

بذلك يستقبل النظام الخلفي الهوية التي يوفّرها العميل في تبادل EAP بدلاً من عنوان IKE. لا يتغيّر أي شيء آخر في الاتصال.

أو دع RADIUS يبدأ تبادل EAP

الترتيب الآخر يضع الخطوة الأولى على جانب RADIUS. يمكن للإضافة إرسال إشارة EAP-Start بدلاً من انتظار استجابة هوية أولية، مما يتيح للخادم قيادة التبادل. هذا إعداد على مستوى الإضافة، لذا يؤثر في كل اتصال يستخدم الإضافة.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

اختر ترتيباً واحداً مع مشغّل RADIUS بدلاً من تمكين الاثنين والأمل. إنهما يصفان سيري عمل مختلفين، والخادم الذي يتوقع أن يبدأ لن يتعامل بالضرورة مع بوابة تبدأ المحادثة. توثيق الإضافة يصف كليهما، بما في ذلك الهوية التي تحملها كل خطوة.

تتبّع محاولة واحدة عبر السجلين

اربط محاولة واحدة عبر السجلين. راقب هوية IKE، ثم ما إذا حدث تبادل EAP-Identity، ثم الاسم الذي تتلقاه خطوة المصادقة. النظام الخلفي الذي يرفض العنوان قبل تبادل EAP يمكنه إيقاف العملية قبل أن تُرى هويتك المقصودة أصلاً.

journalctl -u strongswan -f

احتفظ بتنسيق اسم المستخدم الدقيق الذي يتوقعه نظام الهوية، بما في ذلك بادئة النطاق. لا تخترع حساباً أبداً من قيمة على شكل عنوان، ولا تُطفئ المصادقة أبداً لإرضاء قاعدة سياسة. هوية EAP اسم مُعلَن، وعلى الطريقة أن تُثبته مع ذلك. اكتب الاسم الناتج في سجل الاختبار حتى تبدأ المحاولة التالية من حالة معروفة.

إذا وصل التدفق المصحّح إلى الحساب الصحيح وما زال مرفوضاً، فالدليل التالي هو طريقة EAP وسياسة النظام الخلفي، وليس الهوية. تكرار إعادة تعيين كلمة المرور لا يمكنه إصلاح قيمة اختيرت في طبقة بروتوكول أسبق.