VPN üzərindən eapol_test: RADIUS mübadiləsi 2-ci Qata ehtiyac duyurmu?

Laboratoriya switch portu istəyin ki, eapol_test işlədə biləsiniz — və çox güman ki, aləti səhv oxumusunuz. Peer də, RADIUS müştərisi də həmin tək binar faylın içindədir, ona görə maşından çıxan yeganə söhbət RADIUS mübadiləsinin özüdür. Test hostu ilə autentifikasiya serveri arasında marşrutlanan tunel bütün şəbəkə tələbidir. Fiziki 802.1X yolu hələ də test etməli ola biləcəyiniz başqa bir şeydir və bu deyil.

Ad niyə insanları switch portu axtarmağa vadar edir

EAPOL — supplicant və switch-in LAN-da istifadə etdiyi kadr formatıdır və alət adı həmin dünyadan çıxdığı üçün borc alır. Göndərilən şey peer vəziyyət maşınını və RADIUS müştərisini bir prosesdə daşıyan test proqramıdır, ona görə 802.1X söhbətinin iki yarısı heç vaxt naqil üzərində görüşmür. Ad tarixdir, topologiya tələbi deyil.

İnsanlar hələ də port istəyir, çünki proqram autentifikator davranışı üzərində oturur və bu, aparat kimi səslənir. Onun yapışdırıcısı autentifikator vəziyyət maşınını təkrar istehsal edir, ona görə test otaqda heç bir giriş nöqtəsi olmadan tamamlanır; kompilyasiya edilmiş binar wpa_supplicant-ın EAP peer-ini hostapd-ın RADIUS müştərisi ilə əlaqələndirir. Switch-i çıxarmaq EAPOL addımını çıxarır, autentifikasiya məntiqini yox. Qalan şey iki IP hostu arasında müştəri-server mübadiləsidir.

Bir RADIUS mübadiləsini addım-addım izləyin

Tək cəhdi izləyin və yol qısadır. eapol_test daxilindəki peer konfiqurasiya etdiyiniz metod üçün EAP-Response yaradır və eyni prosesdəki RADIUS müştərisi onu Access-Request-ə qoyur, yükü Message-Authenticator-un yanında EAP-Message atributlarında daşıyır. Həmin veraqram UDP portu 1812 üzərində serverə ünvanlanır və hər hansı IP paketi kimi hostdan çıxır — tunel burada işə qarışır. Server onu öz siyasətinə və metod modullarına görə qiymətləndirir, sonra Access-Challenge, Access-Accept və ya Access-Reject ilə cavab verir.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binar server ünvanını, portu və paylaşılan sirri əmr sətrindən, metodu və etimadnamələri isə wpa_supplicant üslubunda konfiqurasiya blokundan alır. Bu çağırışda heç nə 2-ci Qat qonşuluğundan asılı deyil: -a marşrutlama ilə əldə edilir və onu marşrutlayan VPN kifayətdir. Tunel veraqramı atırsa, test düz LAN-da əlçatmaz serverə qarşı olduğu kimi uğursuz olur.

Binar və server siyasəti fərqli siyahılardır

Metodun keçib-keçməyəcəyinə iki müstəqil siyahı qərar verir və onları qarışdırmaq bir gün itirir. Birinci siyahı binarın içinə kompilyasiya olunur: build konfiqurasiyası hansı EAP metodlarının mövcud olduğunu seçir, ona görə metodu olmayan build, server nəyə icazə verirsə versin, onunla danışıq apara bilməz. İkinci siyahı serverdə yaşayır; siyasət dəstəklənən metodlardan hansıları bu müştəri sinfinin istifadə edə biləcəyini deyir. Keçmək üçün kəsişmə lazımdır və heç bir siyahı digərinin boşluğunu doldura bilməz.

Serveri günahlandırmazdan əvvəl o birinci siyahını yoxlayın. Quraşdırılmış binarda metodun adını axtarın və ya onun gəldiyi build konfiqurasiyasını oxuyun. Metod yoxdursa, RADIUS siyasətini redaktə etmək əvəzinə yenidən build edin; varsa və mübadilə hələ də uğursuz olursa, problem etimadnamələrə, siyasətə və ya sertifikat etimadına keçmişdir.

Keçidin hələ əhatə etmədiyi şey

Uğurlu işləmə bir metodu, bir etimadnamə dəsti üçün, bir RADIUS siyasətinə qarşı, bir şəbəkə yolu üzərində sübut edir. O, giriş nöqtəsinin radiosunu, switch-in EAPOL emalını, autentifikasiyadan sonra gələn VLAN təyinatını və ya VPN konsentratorunun eyni serverlə necə inteqrasiya etdiyini yoxlamır. O komponentlər heç vaxt test edilən yolda olmayıb. Nəticəni məhdud sübut kimi qəbul edin və hesabat verərkən hansı həddi əhatə etdiyini deyin.

Faydalı qeyd serverin və prosesin hər birinin nə müşahidə etdiyidir: hansı metod danışılıb, mübadilə harada dayanıb və server nə qeyd edib. Paylaşılan sirləri və şəxsi açarları o qeyddən kənarda saxlayın.

Nəticəni sitat gətirməzdən əvvəl yoxlama siyahısı

Heç kim çıxışı təsdiq kimi qəbul etməzdən əvvəl dörd şeyi təsdiqləyin. Build test edilən metodu ehtiva edir, RADIUS son nöqtəsi və paylaşılan sirr test edilən mühitə aiddir, server siyasəti bu test kimliyini qəbul edir və şəbəkə yolu istehsal müştərilərinin istifadə etdiyi yol sinfindəndir. Sonra işləmənin toxunmadığını adlandırın: giriş nöqtəsi, switch, VLAN və konsentrator inteqrasiyası hər biri test planında öz sətrini tələb edir.

İki sahibli iki test bir qeyri-müəyyən təsdiqdən yaxşıdır. eapol_test işləməsi metod və server sualına cavab verir; giriş xidməti icra sualına cavab verir.