EAP kroz VPN pristupnik: ko prekida metodu

Zahtjevi podrške opisuju neuspješnu VPN prijavu i RADIUS politiku koja traži jaču metodu kao da je riječ o istom problemu, a nije. Pristupnik ili prihvata akreditive i prosljeđuje ih, ili vodi EAP razgovor između klijenta i servera za autentifikaciju. Šta se od toga događa odlučuje može li promjena na strani servera uopšte nešto popraviti. Pročitajte razmjenu prije nego uredite serversku grupu.

Dva puta autentifikacije koji u dnevniku izgledaju isto

Na prvom putu VPN pristupnik prikuplja korisničko ime i lozinku i šalje RADIUS Access-Request s atributom lozinke. Server za autentifikaciju upoređuje ga sa svojom pohranom akreditiva i odgovara prihvatanjem ili odbijanjem. Klijent nikada ne izvršava EAP metodu jer ga ništa nije na to pozvalo.

Na drugom putu klijent i server za autentifikaciju izvršavaju EAP metodu od početka do kraja, a pristupnik prosljeđuje atribute EAP-Message između njih. Pristupnik i dalje prekida vanjski RADIUS razgovor, ali logika metode živi na dva kraja.

Oba puta daju red u dnevniku koji kaže da je autentifikacija neuspješna. Samo na drugi može uticati to koju EAP metodu server preferira, a samo na prvi to kako pristupnik čita lozinku. Tretirati ih kao zamjenjive znači da timovi potroše dan mijenjajući serverske grupe za klijenta koji nikada nije namjeravao govoriti PEAP.

Gdje se metoda zaista izvršava

RFC 3579 definira propusno rješenje: NAS nosi EAP pakete u RADIUS atributima i ne treba mu kod specifičan za svaki EAP tip. Zato pristupnik može podržavati PEAP i EAP-TLS bez implementacije ijednog.

Pristupnik koji predaje lozinku ne nosi PEAP, čak i kad bi pozadina prihvatila PEAP od drugog klijenta. Uključivanje PEAP-a u serversku politiku ne dodaje metodu klijentu koji je nikada nije ponudio.

PPP postavke autentifikacije pripadaju PPP servisu. One ne mijenjaju tiho svaki IPsec ili stari XAuth put koji koristi isti AAA server, pa promjena koja radi za jednu vrstu pristupa može ostaviti drugu netaknutom.

Šta NAS mora podržavati

Propusnost pomjera zahtjev s koda metode na podršku nosača. Pristupnik mora moći nositi EAP preko svog VPN protokola, a RADIUS klijent na njemu slati i primati atribute EAP-Message dotičnih veličina.

Za IKEv2 EAP je dio definiranog toka autentifikacije, a provjere identiteta i povjerenja servera dolaze iz tog toka. Oznaka PEAP posuđena iz 802.1X postave ne prenosi se automatski jer se pregovaranje oko nje razlikuje.

I strana klijenta ima zahtjeve. Mora biti konfigurisan za metodu, vjerovati serverskom certifikatu koji metoda predstavlja i imati akreditive koje metoda može koristiti. Metoda zasnovana na certifikatu bez klijentskog certifikata pada prije nego RADIUS išta vidi, a to je problem pripreme, ne serverske politike.

Pročitajte jedan pokušaj prije promjene politike

Snimite jedan odobren pokušaj na pristupniku i na serveru za autentifikaciju. Tražite atribute EAP-Message u RADIUS zahtjevu. Njihovo prisustvo govori da je propusni put u upotrebi; odsustvo upućuje na razmjenu akreditiva.

Na Linux pristupniku snimak na RADIUS portu pokazuje koji su atributi na žici:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Zatim uporedite tačku odbijanja. Neuspjeh na pristupniku prije ijednog RADIUS paketa znači da se klijent i pristupnik nisu složili o metodi. RADIUS odbijanje s EAP atributima znači da su krajevi izvršili metodu i jedan od njih odbio rezultat.

Planirajte migraciju kao jednu promjenu od početka do kraja

Promjena metode znači zajedno promijeniti konfiguraciju klijenta, podršku nosača na pristupniku, politiku metode na serveru i pohranu akreditiva. Radite to tim redom i držite radni put dok novi ne bude dokazan. Promjena samo na strani servera je nagađanje i obično pokvari klijente koji su radili. Pripremite promjenu na jednom testnom identitetu prije nego dirnete grupu.

Zapišite kombinaciju koja radi: VPN protokol, EAP nosač, metoda partnera, metoda servera, vrsta akreditiva i provjera identiteta servera.

Držite administrativnu AAA prijavu odvojenom od VPN autentifikacije osim ako zadatak izričito uključuje oboje. Promjena namijenjena daljinskom pristupu ne smije vam oduzeti mogućnost upravljanja uređajem koji je prekida.