EAP drwy borth VPN: pwy sy'n terfynu'r dull

Mae tocynnau cymorth yn disgrifio mewngofnodi VPN wedi methu a pholisi RADIUS sy'n mynnu dull cryfach fel pe baent yr un broblem, ac nid ydynt. Mae'r borth naill ai'n derbyn manylion ac yn eu hanfon ymlaen, neu'n cario sgwrs EAP rhwng y cleient a'r gweinydd dilysu. Pa un o'r rhain sy'n digwydd sy'n penderfynu a all newid ar ochr y gweinydd drwsio unrhyw beth o gwbl. Darllenwch y gyfnewid cyn i chi olygu grŵp y gweinydd.

Dau lwybr dilysu sy'n edrych yr un fath mewn log

Yn y llwybr cyntaf mae'r borth VPN yn casglu enw defnyddiwr a chyfrinair ac yn anfon RADIUS Access-Request ag priodoledd cyfrinair. Mae'r gweinydd dilysu yn ei gymharu â'i storfa manylion ac yn ateb derbyn neu wrthod. Nid yw'r cleient byth yn rhedeg dull EAP, oherwydd ni ofynnodd neb iddo wneud hynny.

Yn yr ail lwybr mae'r cleient a'r gweinydd dilysu yn rhedeg y dull EAP o'r dechrau i'r diwedd, ac mae'r borth yn anfon priodoleddau EAP-Message rhyngddynt. Mae'r borth yn dal i derfynu'r sgwrs RADIUS allanol, ond mae rhesymeg y dull yn byw ar y ddau ben.

Mae'r ddau lwybr yn cynhyrchu llinell mewn log sy'n dweud bod dilysu wedi methu. Dim ond yr ail un all gael ei effeithio gan ba ddull EAP mae'r gweinydd yn ei ffafrio, a dim ond y cyntaf gan y ffordd mae'r borth yn darllen y cyfrinair. Triniaethu'r ddau fel pe baent gyfnewidiol yw sut mae timau'n treulio diwrnod yn newid grwpiau gweinydd ar gyfer cleient nad oedd byth yn mynd i siarad PEAP.

Ble mae'r dull yn rhedeg mewn gwirionedd

RFC 3579 sy'n diffinio'r trefniadau pasio: mae'r NAS yn cario pecynnau EAP mewn priodoleddau RADIUS ac nid oes angen cod penodol i bob math o EAP. Dyna pam y gall porth gefnogi PEAP ac EAP-TLS heb weithredu'r naill na'r llall.

Nid yw porth sy'n cyflwyno cyfrinair yn cario PEAP, hyd yn oed pe bai'r backend yn derbyn PEAP gan gleient arall. Nid yw galluogi PEAP ym mholisi'r gweinydd yn ychwanegu dull at gleient na chynigiodd un erioed.

Mae gosodiadau dilysu PPP yn perthyn i'r gwasanaeth PPP. Nid ydynt yn ail-gyflunio'n dawel bob llwybr IPsec neu XAuth hen sy'n defnyddio'r un gweinydd AAA, felly gall newid sy'n gweithio i un math o fynediad adael y llall yn gyfan.

Yr hyn y mae'n rhaid i'r NAS ei gefnogi

Mae pasio yn symud y gofyniad o god y dull i gefnogaeth y cludwr. Rhaid i'r borth allu cario EAP dros ei brotocol VPN, a rhaid i'r cleient RADIUS arno allu anfon a derbyn priodoleddau EAP-Message o'r maint dan sylw.

Ar gyfer IKEv2 mae EAP yn rhan o lif dilysu diffiniedig, ac mae gwiriadau hunaniaeth ac ymddiriedaeth y gweinydd yn dod o'r llif hwnnw. Nid yw label PEAP wedi'i fenthyca o osodiad 802.1X yn trosglwyddo'n awtomatig, oherwydd mae'r trafodaeth o'i chwmpas yn wahanol.

Mae gan ochr y cleient ofynion hefyd. Rhaid iddo gael ei gyflunio ar gyfer y dull, ymddiried yn nogfen tystysgrif y gweinydd y mae'r dull yn ei chyflwyno, a chael manylion y gall y dull eu defnyddio. Mae dull sy'n seiliedig ar dystysgrif heb dystysgrif cleient yn methu cyn i RADIUS weld unrhyw beth, sef problem darparu yn hytrach na phroblem polisi gweinydd.

Darllenwch un ymgais cyn newid polisi

Cipiwch un ymgais a gymeradwywyd ar y borth ac ar y gweinydd dilysu. Edrychwch am briodoleddau EAP-Message yn y cais RADIUS. Mae eu presenoldeb yn dweud bod y llwybr pasio'n cael ei ddefnyddio; mae eu habsenoldeb yn pwyntio at gyfnewid manylion.

Ar borth Linux mae cipio ar borth RADIUS yn dangos pa briodoleddau sydd ar y wifren:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Yna cymharwch y pwynt gwrthod. Mae methiant ar y borth cyn unrhyw becyn RADIUS yn golygu nad oedd y cleient a'r borth yn cytuno ar y dull. Mae gwrthodiad RADIUS yn cario priodoleddau EAP yn golygu bod y ddau ben wedi rhedeg y dull ac un ohonynt wedi gwrthod y canlyniad.

Cynlluniwch y mudo fel un newid o'r dechrau i'r diwedd

Mae newid y dull yn golygu newid cyfluniad y cleient, cefnogaeth cludwr y borth, polisi dull y gweinydd a'r storfa manylion gyda'i gilydd. Gwnewch hyn yn y drefn honno a chadwch lwybr gweithiol nes bod yr un newydd wedi'i brofi. Mae newid ar ochr y gweinydd yn unig yn ddyfaliad, ac mae fel arfer yn torri'r cleientiaid oedd yn gweithio. Cyflwynwch y newid ar un hunaniaeth brawf cyn cyffwrdd â'r grŵp.

Cofnodwch y cyfuniad sy'n gweithio: protocol VPN, cludwr EAP, dull y cymar, dull y gweinydd, math o fanylion a gwiriad hunaniaeth y gweinydd.

Cadwch AAA mewngofnodi gweinyddol ar wahân i ddilysu VPN oni bai bod y dasg yn cynnwys y ddau yn benodol. Ni ddylai newid ar gyfer mynediad o bell dynnu'ch gallu i reoli'r ddyfais sy'n ei derfynu.