EAP VPN şlüzü vasitəsilə: metodu kim sonlandırır

Dəstək biletləri uğursuz VPN girişini və daha güclü metod tələb edən RADIUS siyasətini eyni problem kimi təsvir edir, halbuki belə deyil. Şlüz ya etimad məlumatını qəbul edib ötürür, ya da müştəri ilə autentifikasiya serveri arasında EAP söhbəti aparır. Hansının baş verdiyi server tərəfindəki dəyişikliyin ümumiyyətlə nəyisə düzəldə biləcəyini müəyyən edir. Server qrupunu redaktə etməzdən əvvəl mübadiləni oxuyun.

Jurnalda oxşar görünən iki autentifikasiya yolu

Birinci yolda VPN şlüzü istifadəçi adı və parolu toplayır və parol atributu ilə RADIUS Access-Request göndərir. Autentifikasiya serveri onu öz etimad anbarı ilə müqayisə edir və qəbul və ya rədd cavabı verir. Müştəri heç vaxt EAP metodu işlətmur, çünki heç nə ondan bunu istəməyib.

İkinci yolda müştəri və autentifikasiya serveri EAP metodunu başdan sona işlədir, şlüz isə aralarında EAP-Message atributlarını ötürür. Şlüz yenə də xarici RADIUS söhbətini sonlandırır, lakin metod məntiqi iki son nöqtədə yaşayır.

Hər iki yol jurnalda autentifikasiya uğursuz oldu deyən bir sətir yaradır. Yalnız ikincisi serverin hansı EAP metoduna üstünlük verdiyindən təsirlənə bilər, yalnız birincisi isə şlüzün parolu necə oxumasından. Onları bir-birini əvəz edən hesab etmək komandaların heç vaxt PEAP danışmayacaq müştəri üçün bir gün server qruplarını dəyişməsinə səbəb olur.

Metod əslində harada işləyir

RFC 3579 ötürmə qaydasını müəyyən edir: NAS EAP paketlərini RADIUS atributlarında daşıyır və hər EAP tipi üçün metod-spesifik kod lazım deyil. Buna görə şlüz PEAP və EAP-TLS-i heç birini tətbiq etmədən dəstəkləyə bilər.

Parol təqdim edən şlüz PEAP daşımır, hətta backend başqa müştəridən PEAP qəbul etsə belə. Server siyasətində PEAP-i aktivləşdirmək heç vaxt təklif etməyən müştəriyə metod əlavə etmir.

PPP autentifikasiya parametrləri PPP xidmətinə aiddir. Onlar eyni AAA serverindən istifadə edən hər IPsec və ya köhnə XAuth yolunu səssizcə yenidən konfiqurasiya etmir, ona görə bir giriş növü üçün işləyən dəyişiklik digərini toxunulmaz qoya bilər.

NAS nəyi dəstəkləməlidir

Ötürmə tələbi metod kodundan daşıyıcı dəstəyinə keçirir. Şlüz EAP-ı öz VPN protokolu üzərində daşıya bilməli, üzərindəki RADIUS müştərisi isə sözügedən ölçülərdə EAP-Message atributlarını göndərib qəbul edə bilməlidir.

IKEv2 üçün EAP müəyyən edilmiş autentifikasiya axınının bir hissəsidir və server kimliyi ilə etimad yoxlamaları həmin axından gəlir. 802.1X yerləşdirməsindən götürülmüş PEAP etiketi avtomatik keçmir, çünki ətrafındakı danışıqlar fərqlidir.

Müştəri tərəfinin də tələbləri var. O, metod üçün konfiqurasiya edilməli, metodun təqdim etdiyi server sertifikatına etibar etməli və metodun istifadə edə biləcəyi etimad məlumatlarına sahib olmalıdır. Müştəri sertifikatı olmayan sertifikat əsaslı metod RADIUS heç nə görməzdən əvvəl uğursuz olur ki, bu da server siyasəti deyil, təchizat problemidir.

Siyasəti dəyişməzdən əvvəl bir cəhdi oxuyun

Şlüzdə və autentifikasiya serverində bir təsdiqlənmiş cəhdi tutun. RADIUS sorğusunda EAP-Message atributlarını axtarın. Onların olması ötürmə yolunun istifadədə olduğunu bildirir; olmaması etimad məlumatı mübadiləsinə işarə edir.

Linux şlüzündə RADIUS portunda tutma naqildə hansı atributların olduğunu göstərir:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Sonra rədd nöqtəsini müqayisə edin. Hər hansı RADIUS paketindən əvvəl şlüzdə uğursuzluq müştəri ilə şlüzün metod barədə razılaşmadığını bildirir. EAP atributları daşıyan RADIUS rəddi isə son nöqtələrin metodu işlətdiyini və birinin nəticəni rədd etdiyini bildirir.

Miqrasiyanı başdan-sona bir dəyişiklik kimi planlaşdırın

Metodu dəyişmək müştəri konfiqurasiyasını, şlüzün daşıyıcı dəstəyini, serverin metod siyasətini və etimad anbarını birlikdə dəyişmək deməkdir. Bunları bu ardıcıllıqla edin və yenisi sübut olunana qədər işlək yol saxlayın. Yalnız server tərəfində dəyişiklik təxmindir və adətən işləyən müştəriləri pozur. Qrupa toxunmazdan əvvəl dəyişikliyi bir sınaq kimliyində mərhələləndirin.

İşləyən kombinasiyanı qeyd edin: VPN protokolu, EAP daşıyıcısı, qarşı tərəf metodu, server metodu, etimad növü və server kimliyi yoxlaması.

İnzibati giriş AAA-sını VPN autentifikasiyasından ayrı saxlayın, məgər tapşırıq açıq şəkildə hər ikisini əhatə etmirsə. Uzaqdan giriş üçün nəzərdə tutulan dəyişiklik onu sonlandıran cihazı idarə etmək imkanınızı götürməməlidir.