VPN-এর উপর eapol_test: RADIUS বিনিময়ে কি লেয়ার 2 লাগে?

ল্যাবের একটি সুইচ পোর্ট চাইবেন eapol_test চালানোর জন্য — এবং সম্ভবত আপনি টুলটি ভুল বুঝেছেন। পিয়ার ও RADIUS ক্লায়েন্ট দুটোই ওই একক বাইনারির ভিতরে থাকে, তাই মেশিন থেকে বের হওয়া একমাত্র কথোপকথন হলো RADIUS বিনিময় নিজেই। টেস্ট হোস্ট ও প্রমাণীকরণ সার্ভারের মধ্যে একটি রাউটেড টানেলই পুরো নেটওয়ার্ক প্রয়োজনীয়তা। ভৌত 802.1X পথ আলাদা একটি জিনিস যা আপনার হয়তো এখনও পরীক্ষা করতে হতে পারে, এবং এটা সেটি নয়।

নামটি কেন মানুষকে সুইচ পোর্ট খুঁজতে পাঠায়

EAPOL হলো সেই ফ্রেম ফরম্যাট যা একটি সাপ্লিক্যান্ট ও একটি সুইচ LAN-এ ব্যবহার করে, এবং টুলটি নামটি ধার করেছে কারণ এটি সেই জগৎ থেকেই এসেছে। যা দেওয়া হয় তা হলো একটি টেস্ট প্রোগ্রাম যা পিয়ার স্টেট মেশিন ও RADIUS ক্লায়েন্টকে একই প্রক্রিয়ায় বহন করে, তাই 802.1X কথোপকথনের দুই অর্ধেক কখনও তারের উপর মেলে না। নামটি ইতিহাস, টপোলজির প্রয়োজনীয়তা নয়।

মানুষ এখনও পোর্ট চায় কারণ প্রোগ্রামটি অথেনটিকেটরের আচরণের উপর বসে, আর তা হার্ডওয়্যারের মতো শোনায়। এর আঠা অথেনটিকেটর স্টেট মেশিন পুনরুৎপাদন করে, তাই ঘরে কোনো অ্যাক্সেস পয়েন্ট ছাড়াই একটি টেস্ট সম্পন্ন হয়; কম্পাইল করা বাইনারি wpa_supplicant-এর EAP পিয়ারকে hostapd-এর RADIUS ক্লায়েন্টের সাথে সংযুক্ত করে। সুইচ সরালে EAPOL হপ সরে যায়, প্রমাণীকরণ লজিক নয়। যা থাকে তা হলো দুটি IP হোস্টের মধ্যে ক্লায়েন্ট-সার্ভার বিনিময়।

একটি RADIUS বিনিময় ধাপে ধাপে অনুসরণ করুন

একটি প্রচেষ্টা অনুসরণ করুন, পথটি ছোট। eapol_test এর ভিতরের পিয়ার আপনার কনফিগার করা মেথডের জন্য একটি EAP-Response তৈরি করে, এবং একই প্রক্রিয়ার RADIUS ক্লায়েন্ট সেটি একটি Access-Request-এ রাখে, পেলোডটি Message-Authenticator-এর পাশে EAP-Message অ্যাট্রিবিউটে বহন করে। ওই ডেটাগ্রামটি UDP পোর্ট 1812-এ সার্ভারের ঠিকানায় যায় এবং অন্য যেকোনো IP প্যাকেটের মতো হোস্ট ছাড়ে — এখানেই টানেল আসে। সার্ভার এটি তার নীতি ও মেথড মডিউল দিয়ে মূল্যায়ন করে, তারপর Access-Challenge, Access-Accept বা Access-Reject দিয়ে উত্তর দেয়।

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

বাইনারিটি সার্ভার ঠিকানা, পোর্ট ও শেয়ার্ড সিক্রেট কমান্ড লাইন থেকে নেয়, আর মেথড ও ক্রেডেনশিয়াল নেয় wpa_supplicant-ধাঁচের কনফিগারেশন ব্লক থেকে। সেই আহ্বানে কিছুই লেয়ার 2 সংলগ্নতার উপর নির্ভর করে না: -a রাউটিংয়ের মাধ্যমে পৌঁছায়, এবং যে VPN এটি রাউট করে তা-ই যথেষ্ট। টানেল যদি ডেটাগ্রাম ফেলে দেয়, তবে সমতল LAN-এ অপ্রাপ্য সার্ভারের মতোই টেস্ট ব্যর্থ হয়।

বাইনারি ও সার্ভার নীতি আলাদা তালিকা

দুটি স্বতন্ত্র তালিকা ঠিক করে একটি মেথড পাস করতে পারবে কি না, এবং এদের গুলিয়ে ফেললে একদিন নষ্ট হয়। প্রথম তালিকাটি বাইনারিতে কম্পাইল করা থাকে: বিল্ড কনফিগারেশন বেছে নেয় কোন EAP মেথডগুলো আছে, তাই কোনো মেথড ছাড়া বিল্ড সার্ভার যাই অনুমতি দিক না কেন তা নিয়ে দরকষাকষি করতে পারে না। দ্বিতীয় তালিকা থাকে সার্ভারে, যেখানে নীতি বলে সমর্থিত মেথডগুলোর মধ্যে এই ক্লায়েন্ট শ্রেণি কোনগুলো ব্যবহার করতে পারে। পাসের জন্য ছেদ প্রয়োজন, এবং কোনো তালিকা অন্য তালিকার ফাঁক পূরণ করতে পারে না।

সার্ভারকে দোষ দেওয়ার আগে সেই প্রথম তালিকা দেখুন। ইনস্টল করা বাইনারিতে মেথডের নাম খুঁজুন, বা যে বিল্ড কনফিগারেশন থেকে এটি এসেছে তা পড়ুন। মেথড অনুপস্থিত থাকলে RADIUS নীতি সম্পাদনার বদলে পুনরায় বিল্ড করুন; এটি থাকলে এবং বিনিময় এখনও ব্যর্থ হলে, সমস্যা ক্রেডেনশিয়াল, নীতি বা সার্টিফিকেট বিশ্বাসে সরে গেছে।

একটি পাস এখনও যা ঢাকে না

সফল একটি রান একটি মেথড প্রমাণ করে, একটি ক্রেডেনশিয়াল সেটের জন্য, একটি RADIUS নীতির বিপরীতে, একটি নেটওয়ার্ক পথে। এটি অ্যাক্সেস পয়েন্টের রেডিও, সুইচের EAPOL হ্যান্ডলিং, প্রমাণীকরণের পরের VLAN বরাদ্দ, বা একটি VPN কনসেন্ট্রেটর একই সার্ভারের সাথে কীভাবে একীভূত হয় তা অনুশীলন করে না। ওই উপাদানগুলো কখনও পরীক্ষিত পথে ছিল না। ফলাফলকে সীমিত প্রমাণ হিসেবে ধরুন, এবং রিপোর্ট করার সময় বলুন এটি কোন সীমা ঢাকে।

উপযোগী রেকর্ড হলো সার্ভার ও প্রক্রিয়া প্রত্যেকে কী পর্যবেক্ষণ করেছে: কোন মেথড দরকষাকষি হয়েছে, বিনিময় কোথায় থেমেছে, এবং সার্ভার কী লগ করেছে। শেয়ার্ড সিক্রেট ও প্রাইভেট কী ওই রেকর্ডের বাইরে রাখুন।

ফলাফল উদ্ধৃত করার আগে চেকলিস্ট

কেউ আউটপুটকে অনুমোদন হিসেবে ধরার আগে চারটি বিষয় নিশ্চিত করুন। বিল্ডে পরীক্ষাধীন মেথড আছে, RADIUS এন্ডপয়েন্ট ও শেয়ার্ড সিক্রেট পরীক্ষাধীন পরিবেশের, সার্ভার নীতি এই টেস্ট পরিচয়কে মেনে নেয়, এবং নেটওয়ার্ক পথ প্রোডাকশন ক্লায়েন্টরা যে শ্রেণির পথ ব্যবহার করে তারই। তারপর নাম দিন যা রান স্পর্শ করেনি: অ্যাক্সেস পয়েন্ট, সুইচ, VLAN ও কনসেন্ট্রেটর একীকরণের প্রত্যেকের টেস্ট প্ল্যানে নিজস্ব লাইন দরকার।

দুই মালিকের দুই টেস্ট এক অস্পষ্ট অনুমোদনের চেয়ে ভালো। eapol_test রান মেথড-ও-সার্ভার প্রশ্নের উত্তর দেয়; অ্যাক্সেস সেবা প্রয়োগের প্রশ্নের উত্তর দেয়।