eapol_test през VPN: нужен ли на RADIUS обмена втори слой?

Поискайте лабораторен порт на суич, за да пуснете eapol_test — и вероятно сте разбрали инструмента погрешно. Peer-ът и RADIUS клиентът живеят в един и същ бинарен файл, така че единственият разговор, който напуска машината, е самият RADIUS обмен. Рутиран тунел между тестовия хост и сървъра за удостоверяване е цялото мрежово изискване. Физическият път на 802.1X е друго нещо, което може все още да ви трябва да тествате, и не е това.

Защо името кара хората да търсят порт на суич

EAPOL е форматът на кадъра, който supplicant и суич използват в LAN, и инструментът заимства името, защото е израснал от този свят. Доставя се тестова програма, която носи състоянието на peer-а и RADIUS клиента в един процес, така че двете половини на един 802.1X разговор никога не се срещат по кабел. Името е история, а не изискване за топология.

Хората все още искат порта, защото програмата стъпва върху поведението на автентикатора, а това звучи като хардуер. Лепенето ѝ възпроизвежда състоянието на автентикатора, така че тестът завършва без точка за достъп в стаята; компилираният бинарен файл свързва EAP peer-а на wpa_supplicant с RADIUS клиента на hostapd. Премахването на суича премахва EAPOL стъпката, не логиката на удостоверяване. Остава обмен клиент-сървър между два IP хоста.

Проследете един RADIUS обмен стъпка по стъпка

Проследете един опит и пътят е кратък. Peer-ът вътре в eapol_test създава EAP-Response за метода, който сте конфигурирали, а RADIUS клиентът в същия процес го поставя в Access-Request, носейки полезния товар в атрибути EAP-Message до Message-Authenticator. Тази дейтаграма е адресирана до сървъра на UDP порт 1812 и напуска хоста като всеки друг IP пакет — тук се намесва тунелът. Сървърът я оценява спрямо своята политика и модулите си за методи, после отговаря с Access-Challenge, Access-Accept или Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Бинарният файл взема адреса на сървъра, порта и споделената тайна от командния ред, а метода и идентификационните данни от конфигурационен блок в стил wpa_supplicant. Нищо в това извикване не зависи от съседство на слой 2: -a се достига чрез рутиране и VPN, който го рутира, е достатъчен. Ако тунелът изпусне дейтаграмата, тестът се проваля точно както срещу недостъпен сървър в плоска LAN.

Бинарният файл и сървърната политика са различни списъци

Два независими списъка решават дали един метод може да мине, и объркването им губи ден. Първият списък е компилиран в бинарния файл: конфигурацията на билда избира кои EAP методи съществуват, така че билд без даден метод не може да го договори, каквото и да позволява сървърът. Вторият списък живее на сървъра, където политиката казва кои от поддържаните методи може да използва този клас клиенти. За успех е нужно сечение и нито един списък не може да запълни празнина в другия.

Проверете първия списък, преди да обвинявате сървъра. Потърсете името на метода в инсталирания бинарен файл или прочетете конфигурацията на билда, от която идва. Ако методът липсва, преизградете, вместо да редактирате RADIUS политиката; ако е налице и обменът все още се проваля, проблемът се е преместил към идентификационни данни, политика или доверие в сертификата.

Какво успехът все още не покрива

Успешно изпълнение доказва един метод, за един набор идентификационни данни, срещу една RADIUS политика, по един мрежов път. То не упражнява радиото на точката за достъп, EAPOL обработката на суич, VLAN назначаването след удостоверяване, нито начина, по който VPN концентратор се интегрира със същия сървър. Тези компоненти никога не са били на тествания път. Отнасяйте се към резултата като към ограничено доказателство и кажете коя граница покрива, когато го докладвате.

Полезният запис е какво са наблюдавали сървърът и процесът поотделно: кой метод е договорен, къде е спрял обменът и какво е записал сървърът. Пазете споделените тайни и частните ключове извън този запис.

Контролен списък, преди да цитирате резултата

Преди някой да приеме изхода като одобрение, потвърдете четири неща. Билдът включва тествания метод, RADIUS крайната точка и споделената тайна принадлежат на тестваната среда, сървърната политика допуска тази тестова идентичност и мрежовият път е от същия клас, който използват продукционните клиенти. После назовете какво изпълнението не е докоснало: точка за достъп, суич, VLAN и интеграцията на концентратора всяко иска свой ред в тестовия план.

Два теста с двама собственици бият едно двусмислено одобрение. Изпълнението на eapol_test отговаря на въпроса за метода и сървъра; услугата за достъп отговаря на въпроса за налагането.