EAP ili klijentski certifikati? Odlučivanje o IKEv2 autentifikaciji

Vaš pristupnik može dokazati vlastiti identitet certifikatom, a vaš putem EAP-a, i ta kombinacija je uobičajena, a ne proturječna. Dva mehanizma odgovaraju na različita pitanja: je li ova krajnja točka ona koju očekujem i je li ovaj korisnik ili uređaj dopušten. Kad u profilu vidite EAP, to ne isključuje provjeru poslužitelja. Upravo čitanje profila kao jedne postavke navodi ljude da resetiraju pogrešan akreditiv.

Utvrdite koji je zahtjev zakazao prije nego što dirnete bilo koji od dva objekta. Faza zatajenja to će vam reći ako je čitate po redu.

Dva akreditiva, dva zahtjeva

Poslužiteljski certifikat veže ime uz ključ, a klijent provjerava tu vezu prema svom spremištu povjerenja. Klijentski certifikat veže identitet uz ključ, a pristupnik provjerava vodi li predočeni certifikat lančano do nečega čemu vjeruje. EAP prenosi razmjenu autentifikacije čiji sadržaj ovisi o odabranoj metodi. To su tri strukture s različitim životnim vijekom, različitim vlasnicima i različitim načinima zatajenja.

Lozinka koja otključava privatni ključ nije lozinka računa, čak i kada se oba upita pojave u razmaku od nekoliko sekundi. Jedna je lokalna u spremištu ključeva uređaja, a drugu provjerava poslužitelj autentifikacije iza pristupnika.

EAP je spremnik, a ne metoda

EAP je okvir: pristupnik i klijent pregovaraju o metodi, a metoda odlučuje sudjeluju li lozinka, token, tunelirana unutarnja razmjena ili certifikat, kako objašnjava strongSwan dokumentacija za IKEv2. Zato EAP-TLS sa strane klijenta ne sliči nimalo na EAP-MSCHAPv2, iako se oboje u izborniku prikazuje kao EAP. Profil koji navodi samo EAP nije vam rekao što će se od korisnika tražiti.

Čitajte metodu i pozadinski sustav zajedno. Pozadinski sustav određuje oblik računa, ponašanje pri zaključavanju i što resetiranje lozinke zapravo mijenja, a ništa od toga nije vidljivo u klijentskom profilu.

Mješovita implementacija je normalna

Poslužiteljski certifikat plus EAP za korisnika oblik je koji uvodi većina pristupnika za daljinski pristup, jer klijentu daje provjerljivu krajnju točku, a operateru identitet po korisniku u središnjem spremištu računa. Postoje i implementacije s klijentskim certifikatima, obično tamo gdje je identitet uređaja važniji od lozinke. Oba su legitimna, a pogreška je pretpostaviti da je ono što ste vidjeli prošli tjedan ono što je pred vama.

Pitajte operatera za dokumentiranu metodu i oblik računa umjesto da ih zaključujete iz naziva polja u klijentu.

Odluka prema fazi zatajenja

Poredajte opažanja. Pogreška povjerenja prije bilo kakvog korisničkog upita problem je poslužiteljskog certifikata i nijedna lozinka to neće popraviti. Upit nakon kojeg slijedi odbijanje problem je autentifikacije korisnika, a sumnjivci su metoda EAP i pozadinski sustav. Uspješna autentifikacija nakon koje slijedi zatajenje child-SA nije ni jedno ni drugo.

Još su dvije razlike važne. Klijent koji odbija poslužiteljski certifikat obično prijavljuje nesklad imena ili nepoznato izdavateljsko tijelo, što je pitanje spremišta povjerenja. Pristupnik koji odbija korisnika često bilježi metodu EAP i kategoriju razloga, što je pitanje računa ili pravila.

Upravljanje dvama modelima

Za certifikate je posao izdavanje, obnova, opoziv i uklanjanje izgubljenih uređaja i odvija se prema rasporedu koji kontrolirate. Za EAP je posao životni ciklus računa, podrška za metode na svakoj klijentskoj platformi i koji god drugi faktor pozadinski sustav zahtijeva. Nijedan model nije apstraktno jeftiniji; opterećuju različite timove. Zapišite koji vaša implementacija doista koristi, jer se skripte za podršku razlikuju više od konfiguracije.

Držite ih odvojeno u svojim bilješkama. Istek certifikata proizvodi zatajenje na određeni datum, zaključavanje računa proizvodi zatajenje nakon promjene lozinke, a nesklad metode proizvodi zatajenje samo na jednoj platformi.

Nakon što je identitet prihvaćen

Autentifikacija su jedna vrata. Podređena sigurnosna asocijacija, selektori prometa, DNS i vlastita dopuštenja aplikacije kasnija su vrata i svaka zatajuje po svojim uvjetima. Prihvaćen identitet koji ni do čega ne stigne nije problem autentifikacije.

Zabilježite metodu, korišteni račun ili certifikat i fazu koja je zakazala. Ta bilješka sljedeći incident pretvara u traženje umjesto u eksperiment.