Zašto RADIUS vidi IP adresu umjesto VPN korisničkog imena

strongSwan može staviti IKE identitet u RADIUS User-Name prije bilo koje EAP razmjene. Odlučite ko traži identitet računa, pa povežite jedan pokušaj.

Windows IKEv2 klijent se povezuje, a RADIUS zahtjev stiže s adresom gdje bi trebalo biti ime računa. Ništa još nije pokvarilo, i to je zbunjujući dio: gateway prijavljuje identitet koji je klijent predstavio na IKE sloju. Korisničko ime koje vaš backend želi možda dolazi iz zasebne EAP razmjene koja se još nije dogodila. Odlučite ko ga traži prije nego promijenite račun.

Dva identiteta putuju u jednoj vezi

U jednoj vezi mogu se pojaviti dva imena. IKE identitet identificira partnera tijekom postavljanja tunela, a eap-radius plugin ga u početku kopira u RADIUS User-Name. EAP identitet je druga vrijednost, koristi se za autentifikaciju korisnika i možda nikada neće biti poslan ako ga nitko ne traži.

Zato RADIUS zapis može pokazivati adresu dok račun postoji i lozinka je ispravna. Backend se pita o pogrešnom sloju. RADIUS atribut je samo prijenos za ime koje je odabrano.

Zamolite gateway da zatraži EAP identitet

Jedan podržani raspored daje gatewayu da zatraži EAP identitet prije nego preda autentifikaciju RADIUS-u. U odjeljku za udaljenu autentifikaciju veze postavite metodu na eap-radius i izričito zatražite EAP identitet. Fragment ispod pripada unutar postojećeg bloka veze, a ne u vlastitu datoteku. Potvrdite vezu i backend konfiguracije prije nego kopirate sintaksu iz drugog postavljanja.

remote {
    auth = eap-radius
    eap_id = %any
}

S tim backend prima identitet koji klijent daje u EAP razmjeni umjesto IKE adrese. Ništa drugo na vezi se ne mijenja.

Ili pustite RADIUS da započne EAP razmjenu

Drugi raspored ostavlja prvi potez na RADIUS strani. Plugin može poslati EAP-Start indikaciju umjesto čekanja početnog odgovora s identitetom, što omogućuje serveru da vodi razmjenu. To je konfiguracija na razini plugina, pa utječe na svaku vezu koja koristi plugin.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Odaberite jedan raspored s RADIUS operaterom umjesto da uključite oba i nadate se. Oni opisuju različite tokove rada, a server koji očekuje da započne neće nužno podnijeti gateway koji započinje razgovor. Dokumentacija plugina opisuje oba, uključujući koji identitet nosi svaki korak.

Pratite jedan pokušaj kroz oba zapisa

Povežite jedan pokušaj u oba zapisa. Promatrajte IKE identitet, zatim događa li se EAP-Identity razmjena, zatim koje ime prima korak autentifikacije. Backend koji odbije adresu prije EAP razmjene može zaustaviti proces prije nego što se vaš namjeravani identitet uopće vidi.

journalctl -u strongswan -f

Zadržite točan format korisničkog imena koji identitetski sustav očekuje, uključujući prefiks domene. Nikada ne izmišljajte račun iz vrijednosti u obliku adrese i nikada ne isključujte autentifikaciju da biste zadovoljili pravilo politike. EAP identitet je tvrđeno ime, a metoda ga još mora dokazati. Upišite dobiveno ime u testni zapis kako bi sljedeći pokušaj počeo iz poznatog stanja.

Ako ispravljeni tok dođe do pravog računa i još je odbijen, sljedeći dokaz su EAP metoda i politika backenda, a ne identitet. Ponavljanje resetiranja lozinke ne može popraviti vrijednost odabranu na ranijem protokolskom sloju.

Povezani članci