EAP a través d'una passarel·la VPN: qui acaba el mètode

Els tiquets descriuen un inici de sessió VPN fallit i una política RADIUS que exigeix un mètode més fort com si fossin el mateix problema, i no ho són. La passarel·la o bé accepta unes credencials i les reenvia, o bé porta una conversa EAP entre el client i el servidor d'autenticació. Quin dels dos casos passa decideix si un canvi al servidor pot arreglar res. Llegeixi l'intercanvi abans d'editar el grup de servidors.

Dos camins d'autenticació que semblen iguals en un registre

En el primer camí, la passarel·la VPN recull un nom d'usuari i una contrasenya i envia una RADIUS Access-Request amb un atribut de contrasenya. El servidor d'autenticació la compara amb el seu magatzem de credencials i respon que accepta o que rebutja. El client no executa mai cap mètode EAP perquè res no l'hi ha demanat.

En el segon camí, el client i el servidor d'autenticació executen el mètode EAP d'extrem a extrem, i la passarel·la reenvia atributs EAP-Message entre ells. La passarel·la encara acaba la conversa RADIUS externa, però la lògica del mètode viu als dos extrems.

Tots dos camins produeixen una línia al registre que diu que l'autenticació ha fallat. Només el segon pot veure's afectat pel mètode EAP que prefereix el servidor, i només el primer pel modo com la passarel·la llegeix la contrasenya. Tractar-los com a intercanviables és com els equips es passen un dia canviant grups de servidors per a un client que mai no havia de parlar PEAP.

On s'executa realment el mètode

RFC 3579 defineix l'esquema de pas: el NAS porta paquets EAP en atributs RADIUS i no necessita codi específic per a cada tipus d'EAP. Per això una passarel·la pot donar suport a PEAP i EAP-TLS sense implementar cap dels dos.

Una passarel·la que envia una contrasenya no porta PEAP, encara que el backend acceptés PEAP d'un altre client. Habilitar PEAP a la política del servidor no afegeix cap mètode a un client que mai no n'ha ofert cap.

La configuració d'autenticació PPP pertany al servei PPP. No reconfigura en silenci cada camí IPsec o XAuth antic que usa el mateix servidor AAA, així que un canvi que funciona per a un tipus d'accés pot deixar l'altre intacte.

Què ha de suportar el NAS

El pas desplaça el requisit del codi del mètode al suport del transport. La passarel·la ha de poder portar EAP pel seu protocol VPN, i el client RADIUS que hi ha a sobre ha de poder enviar i rebre atributs EAP-Message de les mides implicades.

Per a IKEv2, EAP forma part d'un flux d'autenticació definit, i les comprovacions d'identitat i confiança del servidor vénen d'aquest flux. Una etiqueta PEAP manllevada d'una implantació 802.1X no es trasllada automàticament perquè la negociació que l'envolta és diferent.

El costat client també té requisits. Ha d'estar configurat per al mètode, confiar en el certificat del servidor que presenta el mètode i tenir credencials que el mètode pugui usar. Un mètode basat en certificats sense certificat de client falla abans que RADIUS vegi res, cosa que és un problema d'aprovisionament i no de política del servidor.

Llegeixi un intent abans de canviar la política

Capturi un únic intent aprovat a la passarel·la i al servidor d'autenticació. Busqui atributs EAP-Message a la petició RADIUS. La seva presència indica que s'usa el camí de pas; la seva absència apunta a un intercanvi de credencials.

En una passarel·la Linux, una captura al port RADIUS mostra quins atributs hi ha al cable:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Després compari el punt de rebuig. Una fallada a la passarel·la abans de qualsevol paquet RADIUS vol dir que el client i la passarel·la no es van posar d'acord sobre el mètode. Un rebuig RADIUS amb atributs EAP vol dir que els extrems van executar el mètode i un d'ells va rebutjar el resultat.

Planifiqui la migració com un sol canvi d'extrem a extrem

Canviar el mètode vol dir canviar alhora la configuració del client, el suport del transport a la passarel·la, la política del mètode al servidor i el magatzem de credencials. Faci-ho en aquest ordre i mantingui un camí funcional fins que el nou quedi provat. Un canvi només al servidor és una conjectura i normalment trenca els clients que funcionaven. Preparï el canvi en una identitat de prova abans de tocar el grup.

Anoti la combinació que funciona: protocol VPN, transport EAP, mètode del parell, mètode del servidor, tipus de credencial i comprovació d'identitat del servidor.

Mantingui l'AAA d'inici de sessió administratiu separat de l'autenticació VPN tret que la tasca inclogui tots dos explícitament. Un canvi pensat per a l'accés remot no ha de treure-li la capacitat de gestionar el dispositiu que l'acaba.