EAP, yoxsa müştəri sertifikatları? IKEv2 autentifikasiyasına qərar vermək

Şlüzünüz öz kimliyini sertifikatla sübut edə, sizinkini isə EAP ilə sübut edə bilər və bu birləşmə ziddiyyət deyil, adi haldır. İki mexanizm fərqli suallara cavab verir: bu son nöqtə gözlədiyim nöqtədirmi və bu istifadəçi və ya cihaza icazə verilirmi. Profildə EAP görmək server yoxlamasını söndürmür. Profili tək bir parametr kimi oxumaq insanları səhv etimadı sıfırlamağa aparan şeydir.

Hər iki obyektə toxunmadan əvvəl hansı iddianın uğursuz olduğunu müəyyən edin. Uğursuzluq mərhələsi bunu sizə deyir, əgər ardıcıl oxusaz.

İki etimad, iki iddia

Server sertifikatı adı açarla bağlayır və müştəri bu bağlantını öz etimad anbarına qarşı yoxlayır. Müştəri sertifikatı kimliyi açarla bağlayır və şlüz təqdim edilən sertifikatın etimad etdiyi bir şeyə zəncirlənməsini yoxlayır. EAP autentifikasiya mübadiləsini daşıyır və onun məzmunu seçilmiş metoddan asılıdır. Bunlar fərqli ömürlərə, fərqli sahiblərə və fərqli uğursuzluq rejimlərinə malik üç quruluşdur.

Şəxsi açarı açan parol ifadəsi hesab parolu deyil, hətta hər iki sorğu bir-birindən saniyələr içində görünsə də. Biri cihazın açar anbarında lokaldır, digəri isə şlüzün arxasındakı autentifikasiya serveri tərəfindən yoxlanılır.

EAP bir qab, metod deyil

EAP bir çərçivədir: şlüz və müştəri metod barədə razılaşır və metod parolun, tokenin, tunellənmiş daxili mübadilənin və ya sertifikatın iştirak edib-etmədiyini müəyyən edir, strongSwan IKEv2 sənədləri bunu izah edir. Buna görə EAP-TLS müştəri tərəfindən EAP-MSCHAPv2-yə heç bənzəmir, hər ikisi menyuda EAP kimi görünsə də. Yalnız EAP adlandıran profil istifadəçidən nə soruşulacağını sizə deməmişdir.

Metodu və backend-i birlikdə oxuyun. Backend hesab formatını, bloklama davranışını və parol sıfırlamasının həqiqətən nəyi dəyişdiyini müəyyən edir və bunların heç biri müştəri profilində görünmür.

Qarışıq yerləşdirmə normaldır

İstifadəçi üçün server sertifikatı üstəgəl EAP uzaqdan giriş şlüzlərinin çoxunun tətbiq etdiyi formadır, çünki müştəriyə yoxlana bilən son nöqtə, operatora isə mərkəzi hesab anbarında hər istifadəçi üçün kimlik verir. Müştəri sertifikatı ilə yerləşdirmələr də var, adətən cihaz kimliyinin paroldan daha vacib olduğu yerlərdə. Hər ikisi qanunidir və səhv keçən həftə gördüyünüzün qarşınızda duran olduğunu güman etməkdir.

Metodu və hesab formatını müştəridəki sahə adlarından çıxarmaq əvəzinə operatorun sənədləşdirdiyi variantı soruşun.

Uğursuzluq mərhələsindən qərar vermək

Müşahidələri sıralayın. Hər hansı istifadəçi sorğusundan əvvəl yaranan etimad xətası server sertifikatı problemidir və heç bir parol onu düzəltməyəcək. Sorğudan sonra gələn rədd istifadəçi autentifikasiyası problemidir, EAP metodu və backend şübhəli olmaqla. Uğurlu autentifikasiyadan sonra gələn child-SA uğursuzluğu isə heç biri deyil.

Daha iki fərq vacibdir. Server sertifikatını rədd edən müştəri adətən ad uyğunsuzluğu və ya bilinməyən səlahiyyət orqanı bildirir ki, bu etimad anbarı məsələsidir. İstifadəçini rədd edən şlüz isə çox vaxt EAP metodunu və səbəb kateqoriyasını qeyd edir ki, bu hesab və ya siyasət məsələsidir.

İki modeli idarə etmək

Sertifikatlar üçün iş buraxılış, yenilənmə, ləğv və itirilmiş cihazın silinməsidir və sizin nəzarət etdiyiniz cədvəl üzrə baş verir. EAP üçün iş hesabın həyat dövrü, hər müştəri platformasında metod dəstəyi və backend-in tələb etdiyi ikinci faktordur. Nəzəri olaraq heç bir model daha ucuz deyil; onlar fərqli komandaları yükləyir. Yerləşdirmənizin hansını həqiqətən istifadə etdiyini yazın, çünki dəstək skriptləri konfiqurasiyadan daha çox fərqlənir.

Onları qeydlərinizdə ayrı saxlayın. Sertifikatın bitməsi müəyyən tarixdə uğursuzluq yaradır, hesabın bloklanması parol dəyişikliyindən sonra uğursuzluq yaradır, metod uyğunsuzluğu isə yalnız bir platformada uğursuzluq yaradır.

Kimlik qəbul edildikdən sonra

Autentifikasiya bir qapıdır. Child təhlükəsizlik assosiasiyası, trafik seçiciləri, DNS və tətbiqin öz icazələri sonrakı qapılardır və hər biri öz şərtləri ilə uğursuz olur. Heç yerə çatmayan qəbul edilmiş kimlik autentifikasiya problemi deyil.

Metodu, istifadə olunan hesabı və ya sertifikatı və uğursuz olan mərhələni qeyd edin. Bu qeyd növbəti hadisəni eksperimentdən axtarışa çevirir.