eapol_test праз VPN: ці патрэбны абмену RADIUS другі ўзровень?

Папрасіце порт камутатара ў лабараторыі, каб запусціць eapol_test — і вы, хутчэй за ўсё, няправільна зразумелі інструмент. Peer і кліент RADIUS абодва жывуць унутры аднаго бінарніка, таму адзіная размова, якая пакідае машыну, — гэта сам абмен RADIUS. Маршрутызаваны тунель паміж тэставым хастом і серверам аўтэнтыфікацыі — гэта ўсё патрабаванне да сеткі. Фізічны шлях 802.1X — іншая рэч, якую вам, магчыма, яшчэ трэба пратэставаць, і гэта не яна.

Чаму назва прымушае людзей шукаць порт камутатара

EAPOL — гэта фармат кадра, які выкарыстоўваюць supplicant і камутатар у LAN, і інструмент пазычыў назву, бо вырас з таго свету. Пастаўляецца тэставая праграма, якая трымае канечны аўтамат станаў і кліент RADIUS у адным працэсе, таму дзве паловы размовы 802.1X ніколі не сустракаюцца на дроце. Назва — гэта гісторыя, а не патрабаванне да тапалогіі.

Людзі ўсё яшчэ просяць порт, бо праграма грунтуецца на паводзінах аўтэнтыфікатара, а гэта гучыць як абсталяванне. Яе клей узнаўляе аўтамат станаў аўтэнтыфікатара, таму тэст завяршаецца без кропкі доступу ў пакоі; сабраны бінарнік звязвае EAP peer з wpa_supplicant з кліентам RADIUS з hostapd. Выдаленне камутатара выдаляе крок EAPOL, а не логіку аўтэнтыфікацыі. Застаецца абмен кліент-сервер паміж двума IP-хастамі.

Прасачыце адзін абмен RADIUS крок за крокам

Прасачыце адну спробу — і шлях кароткі. Peer унутры eapol_test стварае EAP-Response для метаду, які вы наладзілі, а кліент RADIUS у тым жа працэсе змяшчае яго ў Access-Request, несучы карысную нагрузку ў атрыбутах EAP-Message побач з Message-Authenticator. Гэтая дэтаграма адрасавана серверу на UDP-порце 1812 і пакідае хост, як любы іншы IP-пакет, — менавіта тут і ўступае тунель. Сервер ацэньвае яе паводле сваёй палітыкі і модуляў метадаў, затым адказвае Access-Challenge, Access-Accept або Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Бінарнік бярэ адрас сервера, порт і агульны сакрэт з каманднага радка, а метад і ўліковыя дадзеныя — з блока канфігурацыі ў стылі wpa_supplicant. Нішто ў гэтым выкліку не залежыць ад суседства 2-га ўзроўню: -a дасягаецца маршрутызацыяй, і VPN, які яго маршрутызуе, дастаткова. Калі тунель скідвае дэтаграму, тэст правальваецца гэтак жа, як супраць недасяжнага сервера ў плоскай LAN.

Бінарнік і палітыка сервера — розныя спісы

Два незалежныя спісы вырашаюць, ці можа метад прайсці, і блытаць іх — марнаваць дзень. Першы спіс укампіляваны ў бінарнік: канфігурацыя зборкі выбірае, якія метады EAP існуюць, таму зборка без метаду не можа яго ўзгадніць, што б ні дазваляў сервер. Другі спіс жыве на серверы, дзе палітыка кажа, якія з падтрымліваных метадаў можа выкарыстоўваць гэты клас кліентаў. Для праходжання патрэбна перасячэнне, і ніводзін спіс не можа запоўніць прабел у іншым.

Праверце гэты першы спіс, перш чым вінаваціць сервер. Пашукайце назву метаду ва ўсталяваным бінарніку або прачытайце канфігурацыю зборкі, з якой ён паходзіць. Калі метад адсутнічае, перасабірайце, а не рэдагуйце палітыку RADIUS; калі ён ёсць, а абмен усё яшчэ не ўдаецца, праблема перайшла да ўліковых дадзеных, палітыкі або даверу да сертыфіката.

Што праходжанне ўсё яшчэ не ахоплівае

Паспяховы запуск даказвае адзін метад, для аднаго набору ўліковых дадзеных, супраць адной палітыкі RADIUS, па адным сеткавым шляху. Ён не правярае радыё кропкі доступу, апрацоўку EAPOL камутатарам, прызначэнне VLAN, якое ідзе пасля аўтэнтыфікацыі, або тое, як канцэнтратар VPN інтэгруецца з тым жа серверам. Гэтыя кампаненты ніколі не былі на шляху, які тэставаўся. Стаўцеся да выніку як да абмежаванага доказа, і кажыце, якую мяжу ён ахоплівае, калі паведамляеце пра яго.

Карысны запіс — гэта тое, што назіралі сервер і працэс кожны паасобку: які метад быў узгоднены, дзе спыніўся абмен і што сервер запісаў у журнал. Трымайце агульныя сакрэты і прыватныя ключы па-за гэтым запісам.

Кантрольны спіс перад тым, як цытаваць вынік

Перш чым хтосьці ўспрыме вывад як зацвярджэнне, пацвердзіце чатыры рэчы. Зборка ўключае метад, які тэстуецца, канцавы пункт RADIUS і агульны сакрэт належаць асяроддзю, якое тэстуецца, палітыка сервера дапускае гэтую тэставую ідэнтычнасць, а сеткавы шлях — таго ж класа, што выкарыстоўваюць прадукцыйныя кліенты. Затым назавіце тое, чаго запуск не крануў: кропка доступу, камутатар, VLAN і інтэграцыя канцэнтратара кожная патрабуюць свайго радка ў тэставым плане.

Два тэсты з двума ўладальнікамі лепш за адзін неадназначны подпіс. Запуск eapol_test адказвае на пытанне метаду і сервера; служба доступу адказвае на пытанне прымянення.