eapol_test dros VPN: a oes angen haen 2 ar y gyfnewidfa RADIUS?

Gofynnwch am borth newidydd labordy fel y gallwch redeg eapol_test ac mae'n debyg eich bod wedi camddeall yr offeryn. Mae'r peer a'r cleient RADIUS ill dau yn byw y tu mewn i'r un deuaidd hwnnw, felly'r unig sgwrs sy'n gadael y peiriant yw'r gyfnewidfa RADIUS ei hun. Twnnel wedi'i lwybro rhwng y gwesteiwr prawf a'r gweinydd dilysu yw'r holl ofyniad rhwydwaith. Mae'r llwybr 802.1X ffisegol yn beth arall y gallech fod angen ei brofi o hyd, ac nid hwn yw hwnnw.

Pam mae'r enw'n gyrru pobl i chwilio am borth newidydd

EAPOL yw fformat y ffrâm y mae supplicant a newidydd yn ei ddefnyddio ar LAN, ac mae'r offeryn yn benthyg yr enw oherwydd iddo dyfu o'r byd hwnnw. Yr hyn a gludir yw rhaglen brawf sy'n cario peiriant cyflwr y peer a'r cleient RADIUS mewn un broses, felly nid yw dau hanner sgwrs 802.1X byth yn cyfarfod dros wifren. Hanes yw'r enw, nid gofyniad topoleg.

Mae pobl yn dal i ofyn am y porth oherwydd bod y rhaglen yn sefyll ar ymddygiad dilysydd, ac mae hynny'n swnio fel caledwedd. Mae ei glud yn atgynhyrchu peiriant cyflwr y dilysydd, felly mae prawf yn cwblhau heb bwynt mynediad yn yr ystafell; mae'r deuaidd cyflwynedig yn cysylltu EAP peer wpa_supplicant â chleient RADIUS hostapd. Mae tynnu'r newidydd yn tynnu'r naid EAPOL, nid y rhesymeg ddilysu. Yr hyn sy'n aros yw cyfnewidfa cleient-gweinydd rhwng dau westai IP.

Dilynwch un gyfnewidfa RADIUS naid wrth naid

Dilynwch un ymgais ac mae'r llwybr yn fyr. Mae'r peer y tu mewn i eapol_test yn cynhyrchu EAP-Response ar gyfer y dull a ffurfweddwyd gennych, ac mae'r cleient RADIUS yn yr un broses yn ei roi mewn Access-Request, gan gario'r llwyth mewn priodoleddau EAP-Message wrth ochr Message-Authenticator. Mae'r datagram hwnnw'n cael ei gyfeirio at y gweinydd ar borth UDP 1812, ac mae'n gadael y gwesteiwr fel unrhyw becyn IP arall, a dyna lle mae'r twnnel yn dod i mewn. Mae'r gweinydd yn ei werthuso yn erbyn ei bolisi a'i fodiwlau dull, ac yna'n ateb ag Access-Challenge, Access-Accept neu Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Mae'r deuaidd yn cymryd cyfeiriad y gweinydd, y porth a'r gyfrinach a rennir o'r llinell orchymyn, a'r dull a'r manylion mewngofnodi o floc ffurfweddu ar ddull wpa_supplicant. Nid oes dim yn y defnydd hwnnw'n dibynnu ar gyffinio haen 2: -a yw cyrraedd trwy lwybro, ac mae VPN sy'n ei lwybro yn ddigon. Os yw'r twnnel yn gollwng y datagram, mae'r prawf yn methu yn union fel y byddai yn erbyn gweinydd anghyrhaeddadwy ar LAN fflat.

Mae'r deuaidd a pholisi'r gweinydd yn restrau gwahanol

Mae dau restr annibynnol yn penderfynu a all dull basio, ac mae eu drysu yn gwastraffu diwrnod. Mae'r rhestr gyntaf wedi'i chyflwyno i'r deuaidd: mae'r ffurfweddiad adeiladu yn dewis pa ddulliau EAP sy'n bodoli, felly ni all adeiladwaith heb ddull ei drafod waeth beth a ganiateir gan y gweinydd. Mae'r ail restr yn byw ar y gweinydd, lle mae polisi'n dweud pa un o'r dulliau a gefnogir y caiff y dosbarth cleient hwn ei ddefnyddio. Mae angen croestoriad i basio, ac ni all y naill restr lenwi bwlch yn y llall.

Gwiriwch y rhestr gyntaf honno cyn beio'r gweinydd. Chwiliwch am enw'r dull yn y deuaidd sydd wedi'i osod, neu darllenwch y ffurfweddiad adeiladu y daeth ohono. Os yw'r dull yn absennol, ailadeiladwch yn hytrach na golygu polisi RADIUS; os yw'n bresennol ac mae'r gyfnewidfa'n dal i fethu, mae'r broblem wedi symud i fanylion mewngofnodi, polisi neu ymddiriedaeth tystysgrif.

Yr hyn nad yw pas yn ei gwmpasu o hyd

Mae rhediad llwyddiannus yn profi un dull, ar gyfer un set o fanylion mewngofnodi, yn erbyn un polisi RADIUS, dros un llwybr rhwydwaith. Nid yw'n ymarfer radio'r pwynt mynediad, triniaeth EAPOL newidydd, y neilltuo VLAN sy'n dilyn dilysu, nac y ffordd y mae canolbwynt VPN yn integreiddio â'r un gweinydd. Nid oedd y cydrannau hynny byth ar y llwybr a brofwyd. Triniwch y canlyniad fel tystiolaeth gyfyngedig, a dywedwch ba derfyn y mae'n ei gwmpasu pan fyddwch yn ei adrodd.

Y cofnod defnyddiol yw'r hyn a arsylwodd y gweinydd a'r broses bob un: pa ddull a drafodwyd, ble y stopiodd y gyfnewidfa, a beth a gofnododd y gweinydd. Cadwch gyfrinachau a rennir ac allweddi preifat allan o'r cofnod hwnnw.

Rhestr wirio cyn i chi ddyfynnu'r canlyniad

Cyn i unrhyw un drin yr allbwn fel cymeradwyaeth, cadarnhewch bedair peth. Mae'r adeiladwaith yn cynnwys y dull a brofir, mae pen y daith RADIUS a'r gyfrinach a rennir yn perthyn i'r amgylchedd a brofir, mae polisi'r gweinydd yn derbyn y hunaniaeth brawf hon, ac mae'r llwybr rhwydwaith o'r un dosbarth â'r llwybr a ddefnyddir gan gleientiaid cynhyrchu. Yna enwch yr hyn na chyffyrddodd y rhediad ag ef: mae angen llinell ei hun yn y cynllun prawf ar bwynt mynediad, newidydd, VLAN ac integreiddiad canolbwynt.

Mae dau brawf â dau berchnog yn curo un cymeradwyaeth annelwig. Mae rhediad eapol_test yn ateb y cwestiwn dull-a-gweinydd; mae'r gwasanaeth mynediad yn ateb y cwestiwn gorfodi.