eapol_test kroz VPN: treba li RADIUS razmjena sloj 2?

Zatražite laboratorijski port na switchu da biste pokrenuli eapol_test i vjerovatno ste pogrešno shvatili alat. Peer i RADIUS klijent oba žive unutar tog jednog binarnog fajla, pa je jedini razgovor koji napušta mašinu sama RADIUS razmjena. Rutirani tunel između testnog hosta i servera za autentifikaciju je cijeli mrežni zahtjev. Fizička 802.1X putanja je druga stvar koju možda još trebate testirati, i to nije ova.

Zašto ime šalje ljude u potragu za portom na switchu

EAPOL je format okvira koji supplicant i switch koriste na LAN-u, a alat posuđuje ime jer je izrastao iz tog svijeta. Isporučuje se testni program koji nosi peer mašinu stanja i RADIUS klijenta u jednom procesu, pa se dvije polovine 802.1X razgovora nikada ne sretnu preko žice. Ime je historija, a ne zahtjev za topologijom.

Ljudi i dalje traže port jer program počiva na ponašanju autentifikatora, a to zvuči kao hardver. Njegovo ljepilo reprodukuje mašinu stanja autentifikatora, pa se test završava bez pristupne tačke u prostoriji; kompajlirani binarni fajl povezuje EAP peer iz wpa_supplicant sa RADIUS klijentom iz hostapd. Uklanjanje switcha uklanja EAPOL skok, a ne logiku autentifikacije. Ono što ostaje je razmjena klijent-server između dva IP hosta.

Pratite jednu RADIUS razmjenu skok po skok

Pratite jedan pokušaj i putanja je kratka. Peer unutar eapol_test proizvodi EAP-Response za metodu koju ste konfigurisali, a RADIUS klijent u istom procesu ga stavlja u Access-Request, noseći korisni teret u EAP-Message atributima pored Message-Authenticator. Ta datagrama je adresirana na server na UDP portu 1812 i napušta host kao i svaki drugi IP paket, i tu tunel ulazi u igru. Server je ocjenjuje prema svojoj politici i svojim modulima metoda, a zatim odgovara sa Access-Challenge, Access-Accept ili Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binarni fajl uzima adresu servera, port i zajedničku tajnu iz komandne linije, a metodu i akreditive iz konfiguracijskog bloka u stilu wpa_supplicant. Ništa u tom pozivu ne zavisi od susjedstva sloja 2: -a se doseže rutiranjem, i dovoljan je VPN koji ga rutira. Ako tunel ispusti datagramu, test pada isto kao protiv nedostupnog servera na ravnom LAN-u.

Binarni fajl i serverska politika su različite liste

Dvije nezavisne liste odlučuju može li metoda proći, a njihovo miješanje gubi dan. Prva lista je kompajlirana u binarni fajl: build konfiguracija bira koje EAP metode postoje, pa build bez neke metode ne može je pregovarati bez obzira na to šta server dopušta. Druga lista živi na serveru, gdje politika kaže koje od podržanih metoda ova klasa klijenata smije koristiti. Za prolaz je potreban presjek, i nijedna lista ne može popuniti prazninu u drugoj.

Provjerite tu prvu listu prije nego okrivite server. Pretražite instalirani binarni fajl za imenom metode ili pročitajte build konfiguraciju iz koje je došao. Ako metoda nema, ponovo buildajte umjesto da mijenjate RADIUS politiku; ako postoji a razmjena i dalje pada, problem se preselio na akreditive, politiku ili povjerenje u certifikat.

Šta prolaz još uvijek ne pokriva

Uspješno pokretanje dokazuje jednu metodu, za jedan set akreditiva, protiv jedne RADIUS politike, preko jedne mrežne putanje. Ono ne vježba radio pristupne tačke, EAPOL rukovanje switcha, dodjelu VLAN-a koja slijedi nakon autentifikacije, niti način na koji se VPN koncentrator integriše sa istim serverom. Te komponente nikada nisu bile na testiranoj putanji. Tretirajte rezultat kao ograničen dokaz i recite koju granicu pokriva kada ga prijavljujete.

Korisni zapis je ono što su server i proces svaki zasebno primijetili: koja metoda je pregovarana, gdje se razmjena zaustavila i šta je server zapisao. Držite zajedničke tajne i privatne ključeve izvan tog zapisa.

Kontrolna lista prije nego citirate rezultat

Prije nego iko tretira izlaz kao odobrenje, potvrdite četiri stvari. Build uključuje metodu koja se testira, RADIUS krajnja tačka i zajednička tajna pripadaju okruženju koje se testira, serverska politika propušta ovaj testni identitet, a mrežna putanja je iste klase kao putanja koju koriste produkcijski klijenti. Zatim navedite šta pokretanje nije dotaklo: pristupna tačka, switch, VLAN i integracija koncentratora svaki trebaju svoj red u testnom planu.

Dva testa sa dva vlasnika pobjeđuju jedno dvosmisleno odobrenje. eapol_test pokretanje odgovara na pitanje metode i servera; pristupna usluga odgovara na pitanje provođenja.