eapol_test přes VPN: potřebuje výměna RADIUS vrstvu 2?

Požádejte o laboratorní port na switchi, abyste mohli spustit eapol_test — a pravděpodobně jste nástroj špatně pochopili. Peer i klient RADIUS žijí uvnitř jednoho binárního souboru, takže jediná konverzace, která opouští stroj, je samotná výměna RADIUS. Směrovaný tunel mezi testovacím hostitelem a autentizačním serverem je celý síťový požadavek. Fyzická cesta 802.1X je jiná věc, kterou možná ještě potřebujete testovat, a není to tato.

Proč název posílá lidi hledat port na switchi

EAPOL je formát rámce, který supplicant a switch používají v LAN, a nástroj si jméno vypůjčil, protože vyrostl z toho světa. Dodává se testovací program, který nese stavový automat peeru a klienta RADIUS v jednom procesu, takže se obě poloviny konverzace 802.1X nikdy nesetkají po drátě. Jméno je historie, ne požadavek na topologii.

Lidé o port žádají dál, protože program stojí na chování autentizátoru, a to zní jako hardware. Jeho lepidlo reprodukuje stavový automat autentizátoru, takže test skončí bez přístupového bodu v místnosti; zkompilovaný binární soubor propojuje EAP peer z wpa_supplicant s klientem RADIUS z hostapd. Odebrání switche odebere EAPOL skok, ne autentizační logiku. Co zůstává, je výměna klient-server mezi dvěma IP hostiteli.

Sledujte jednu výměnu RADIUS skok za skokem

Sledujte jeden pokus a cesta je krátká. Peer uvnitř eapol_test vytvoří EAP-Response pro metodu, kterou jste nakonfigurovali, a klient RADIUS ve stejném procesu ji vloží do Access-Request a nese užitečné zatížení v atributech EAP-Message vedle Message-Authenticator. Tento datagram je adresován serveru na UDP portu 1812 a opouští hostitele jako každý jiný IP paket, a právě tam vstupuje tunel. Server jej vyhodnotí podle své politiky a svých modulů metod a poté odpoví Access-Challenge, Access-Accept nebo Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binární soubor bere adresu serveru, port a sdílené tajemství z příkazového řádku a metodu a přihlašovací údaje z konfiguračního bloku ve stylu wpa_supplicant. Nic v tomto volání nezávisí na sousedství vrstvy 2: -a se dosahuje směrováním a VPN, která jej směruje, stačí. Pokud tunel datagram zahodí, test selže přesně jako proti nedostupnému serveru v ploché LAN.

Binární soubor a politika serveru jsou různé seznamy

O tom, zda metoda projde, rozhodují dva nezávislé seznamy a jejich záměna stojí den. První seznam je zkompilován do binárního souboru: konfigurace sestavení vybírá, které metody EAP existují, takže sestavení bez metody ji nemůže vyjednat, ať server povolí cokoli. Druhý seznam žije na serveru, kde politika říká, které z podporovaných metod smí tato třída klientů použít. K průchodu je potřeba průnik a žádný seznam nemůže zaplnit mezeru v tom druhém.

Zkontrolujte ten první seznam, než obviníte server. Hledejte název metody v nainstalovaném binárním souboru, nebo si přečtěte konfiguraci sestavení, ze které pochází. Pokud metoda chybí, sestavte znovu, místo abyste upravovali politiku RADIUS; pokud je přítomna a výměna stále selhává, problém se přesunul k přihlašovacím údajům, politice nebo důvěře v certifikát.

Co průchod stále nepokrývá

Úspěšné spuštění dokazuje jednu metodu, pro jednu sadu přihlašovacích údajů, proti jedné politice RADIUS, po jedné síťové cestě. Necvičí rádio přístupového bodu, zpracování EAPOL switchem, přiřazení VLAN, které následuje po autentizaci, ani způsob, jakým se koncentrátor VPN integruje se stejným serverem. Tyto komponenty nikdy nebyly na testované cestě. Berte výsledek jako omezený důkaz a při hlášení řekněte, kterou hranici pokrývá.

Užitečný záznam je to, co server a proces každý pozorovaly: která metoda byla vyjednána, kde se výměna zastavila a co server zalogoval. Sdílená tajemství a soukromé klíče držte mimo tento záznam.

Kontrolní seznam, než výsledek ocitujete

Než někdo vezme výstup jako schválení, potvrďte čtyři věci. Sestavení obsahuje testovanou metodu, koncový bod RADIUS a sdílené tajemství patří testovanému prostředí, politika serveru připouští tuto testovací identitu a síťová cesta je stejné třídy jako cesta, kterou používají produkční klienti. Pak pojmenujte, čeho se spuštění nedotklo: přístupový bod, switch, VLAN a integrace koncentrátoru každý potřebují vlastní řádek v testovacím plánu.

Dva testy se dvěma vlastníky porazí jedno nejednoznačné schválení. Spuštění eapol_test odpovídá na otázku metody a serveru; přístupová služba odpovídá na otázku vynucení.