EAP през VPN шлюз: кой прекратява метода

Тикетите в поддръжката описват неуспешен VPN вход и RADIUS политика, изискваща по-силен метод, сякаш са един и същ проблем, а не са. Шлюзът или приема данните и ги препраща, или води EAP разговор между клиента и сървъра за удостоверяване. Кое от двете се случва решава дали промяна от страна на сървъра може изобщо да помогне. Прочетете обмена, преди да редактирате сървърната група.

Два пътя за удостоверяване, които изглеждат еднакво в журнала

При първия път VPN шлюзът събира потребителско име и парола и изпраща RADIUS Access-Request с атрибут за парола. Сървърът за удостоверяване го сравнява със своето хранилище и отговаря с приемане или отказ. Клиентът никога не изпълнява EAP метод, защото никой не го е поискал.

При втория път клиентът и сървърът за удостоверяване изпълняват EAP метода от край до край, а шлюзът препраща атрибути EAP-Message между тях. Шлюзът пак прекратява външния RADIUS разговор, но логиката на метода живее в двата крайни точки.

И двата пътя дават ред в журнала, че удостоверяването е неуспешно. Само вторият зависи от това кой EAP метод предпочита сървърът, и само първият — от това как шлюзът чете паролата. Да ги третирате като взаимозаменяеми означава екипът да загуби ден в смяна на сървърни групи за клиент, който никога не е щял да говори PEAP.

Къде всъщност работи методът

RFC 3579 дефинира схемата на пренос: NAS носи EAP пакети в RADIUS атрибути и не се нуждае от код, специфичен за всеки EAP тип. Затова шлюзът може да поддържа PEAP и EAP-TLS, без да реализира нито един от тях.

Шлюз, който подава парола, не носи PEAP, дори бекендът да приеме PEAP от друг клиент. Включването на PEAP в сървърната политика не добавя метод към клиент, който никога не е предлагал такъв.

Настройките за PPP удостоверяване принадлежат на PPP услугата. Те не пренастройват тихо всеки IPsec или стар XAuth път, който ползва същия AAA сървър, така че промяна, работеща за един тип достъп, може да остави другия незасегнат.

Какво трябва да поддържа NAS

Преносът мести изискването от код на метода към поддръжка на носителя. Шлюзът трябва да може да носи EAP по своя VPN протокол, а RADIUS клиентът върху него — да изпраща и приема атрибути EAP-Message с въпросните размери.

За IKEv2 EAP е част от дефиниран поток за удостоверяване и проверките за идентичност и доверие на сървъра идват от него. Етикет PEAP, взет от внедряване на 802.1X, не се пренася автоматично, защото преговорите около него са различни.

Клиентската страна също има изисквания. Тя трябва да е конфигурирана за метода, да се доверява на сървърния сертификат, който методът представя, и да има данни, които методът може да ползва. Метод със сертификат без клиентски сертификат се проваля, преди RADIUS да види нещо — това е проблем на осигуряването, не на сървърната политика.

Прочетете един опит, преди да сменяте политиката

Запишете един одобрен опит на шлюза и на сървъра за удостоверяване. Търсете атрибути EAP-Message в RADIUS заявката. Наличието им показва, че се ползва пътят на пренос; липсата им сочи към обмен на данни.

На Linux шлюз записът на RADIUS порта показва кои атрибути са по мрежата:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

После сравнете точката на отказа. Провал на шлюза преди който и да е RADIUS пакет значи, че клиентът и шлюзът не са се разбрали за метода. RADIUS отказ с EAP атрибути значи, че крайните точки са изпълнили метода и една от тях е отказала резултата.

Планирайте миграцията като една промяна от край до край

Смяната на метода означава да смените заедно клиентската конфигурация, поддръжката на носителя в шлюза, политиката на метода в сървъра и хранилището с данни. Правете го в този ред и пазете работещ път, докато новият не се докаже. Промяна само от страна на сървъра е догадка и обикновено чупи клиентите, които са работили. Подгответе промяната върху една тестова идентичност, преди да пипате групата.

Запишете комбинацията, която работи: VPN протокол, EAP носител, метод на партньора, метод на сървъра, тип данни и проверка на самоличността на сървъра.

Дръжте административния AAA вход отделно от VPN удостоверяването, освен ако задачата изрично не включва и двете. Промяна за отдалечен достъп не бива да ви отнема възможността да управлявате устройството, което я прекратява.