eapol_test sobre una VPN: cal la capa 2 per a l'intercanvi RADIUS?

Demaneu un port de commutador de laboratori per poder executar eapol_test i probablement heu malinterpretat l'eina. El peer i el client RADIUS viuen tots dos dins d'aquest únic binari, així que l'única conversa que surt de la màquina és el mateix intercanvi RADIUS. Un túnel enrutat entre l'amfitrió de proves i el servidor d'autenticació és tot el requisit de xarxa. El camí físic 802.1X és una altra cosa que potser encara heu de provar, i no és aquesta.

Per què el nom fa que la gent busqui un port de commutador

EAPOL és el format de trama que un suplicant i un commutador fan servir en una LAN, i l'eina agafa el nom perquè va créixer d'aquell món. El que es lliura és un programa de proves que porta la màquina d'estats del peer i el client RADIUS en un sol procés, així que les dues meitats d'una conversa 802.1X no es troben mai per un cable. El nom és història, no un requisit de topologia.

La gent encara demana el port perquè el programa es basa en el comportament de l'autenticador, i això sona a maquinari. El seu engalzament reprodueix la màquina d'estats de l'autenticador, així que una prova es completa sense cap punt d'accés a la sala; el binari compilat enllaça el peer EAP de wpa_supplicant amb el client RADIUS de hostapd. Treure el commutador treu el salt EAPOL, no la lògica d'autenticació. El que queda és un intercanvi client-servidor entre dos amfitrions IP.

Seguiu un intercanvi RADIUS salt a salt

Seguiu un sol intent i el camí és curt. El peer dins de eapol_test produeix una EAP-Response per al mètode que heu configurat, i el client RADIUS del mateix procés la posa en una Access-Request, portant la càrrega útil en atributs EAP-Message al costat d'un Message-Authenticator. Aquest datagrama s'adreça al servidor al port UDP 1812 i surt de l'amfitrió com qualsevol altre paquet IP, i aquí és on entra el túnel. El servidor l'avalua segons la seva política i els seus mòduls de mètodes, i després respon amb Access-Challenge, Access-Accept o Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

El binari pren l'adreça del servidor, el port i el secret compartit de la línia d'ordres, i el mètode i les credencials d'un bloc de configuració a l'estil de wpa_supplicant. Res d'aquesta invocació no depèn d'una adjacència de capa 2: -a s'assoleix per encaminament, i una VPN que l'encamini és suficient. Si el túnel descarta el datagrama, la prova falla exactament com contra un servidor inabastable en una LAN plana.

El binari i la política del servidor són llistes diferents

Dues llistes independents decideixen si un mètode pot passar, i confondre-les fa perdre un dia. La primera llista es compila dins del binari: la configuració de compilació tria quins mètodes EAP existeixen, així que una compilació sense un mètode no el pot negociar faci el que faci el servidor. La segona llista viu al servidor, on la política diu quins dels mètodes suportats pot usar aquesta classe de clients. Cal una intersecció per passar, i cap llista no pot omplir el buit de l'altra.

Comproveu aquesta primera llista abans de culpar el servidor. Cerqueu el nom del mètode al binari instal·lat o llegiu la configuració de compilació d'on ve. Si el mètode no hi és, recompileu en lloc d'editar la política RADIUS; si hi és i l'intercanvi encara falla, el problema s'ha traslladat a les credencials, la política o la confiança en el certificat.

Què encara no cobreix una prova superada

Una execució correcta demostra un mètode, per a un conjunt de credencials, contra una política RADIUS, per un camí de xarxa. No exercita la ràdio del punt d'accés, el tractament EAPOL d'un commutador, l'assignació de VLAN que segueix l'autenticació, ni la manera com un concentrador VPN s'integra amb el mateix servidor. Aquests components mai no eren al camí provat. Tracteu el resultat com a evidència limitada i digueu quin límit cobreix quan el reporteu.

El registre útil és el que el servidor i el procés van observar cadascun: quin mètode es va negociar, on es va aturar l'intercanvi i què va registrar el servidor. Mantingueu els secrets compartits i les claus privades fora d'aquest registre.

Llista de comprovació abans de citar el resultat

Abans que algú tracti la sortida com una aprovació, confirmeu quatre coses. La compilació inclou el mètode provat, el punt final RADIUS i el secret compartit pertanyen a l'entorn que es prova, la política del servidor admet aquesta identitat de prova i el camí de xarxa és de la mateixa classe que fan servir els clients de producció. Després anomeneu què no ha tocat l'execució: punt d'accés, commutador, VLAN i integració del concentrador necessiten cadascun la seva línia al pla de proves.

Dues proves amb dos responsables superen una aprovació ambigua. L'execució de eapol_test respon la pregunta del mètode i el servidor; el servei d'accés respon la pregunta de l'aplicació.