Pam fod RADIUS yn gweld cyfeiriad IP yn lle enw defnyddiwr VPN

Gall strongSwan roi'r hunaniaeth IKE yn RADIUS User-Name cyn unrhyw gyfnewid EAP. Penderfynwch pwy sy'n gofyn am hunaniaeth y cyfrif, yna cysylltwch un ymgais.

Mae cleient Windows IKEv2 yn cysylltu, ac mae'r cais RADIUS yn cyrraedd gyda chyfeiriad lle dylai enw'r cyfrif fod. Nid oes dim wedi methu eto, a dyna'r rhan ddryslyd: mae'r porth yn adrodd yr hunaniaeth a gyflwynodd y cleient ar haen IKE. Efallai bod yr enw defnyddiwr y mae eich backend ei eisiau yn dod o gyfnewid EAP ar wahân nad yw wedi digwydd eto. Penderfynwch pwy sy'n gofyn amdano cyn newid y cyfrif.

Mae dwy hunaniaeth yn teithio mewn un cysylltiad

Gall dau enw ymddangos mewn un cysylltiad. Mae'r hunaniaeth IKE yn adnabod y cymar wrth osod y twnnel, ac mae'r ategyn eap-radius yn ei chopïo i RADIUS User-Name i ddechrau. Mae'r hunaniaeth EAP yn werth gwahanol, a ddefnyddir i ddilysu'r defnyddiwr, ac efallai na chaiff ei hanfon byth os nad oes neb yn gofyn amdani.

Dyna pam y gall log RADIUS ddangos cyfeiriad tra bod y cyfrif yn bodoli a'r cyfrinair yn gywir. Gofynnir i'r backend am y haen anghywir. Nid yw priodoledd RADIUS ond y cludydd ar gyfer yr enw a ddewiswyd.

Gofynnwch i'r porth ofyn am hunaniaeth EAP

Mae un trefniant a gefnogir yn gadael i'r porth ofyn am yr hunaniaeth EAP cyn trosglwyddo dilysu i RADIUS. Yn adran dilysu o bell y cysylltiad, gosodwch y dull i eap-radius a gofynnwch am yr hunaniaeth EAP yn benodol. Mae'r darn isod yn perthyn y tu mewn i floc cysylltiad sy'n bodoli eisoes, nid mewn ffeil ar wahân. Cadarnhewch y cysylltiad a backend y ffurfweddiad cyn copïo cystrawen o leoliad arall.

remote {
    auth = eap-radius
    eap_id = %any
}

Gyda hynny, mae'r backend yn derbyn yr hunaniaeth y mae'r cleient yn ei darparu yn y cyfnewid EAP yn lle'r cyfeiriad IKE. Nid oes dim arall am y cysylltiad yn newid.

Neu gadewch i RADIUS ddechrau'r cyfnewid EAP

Mae'r trefniant arall yn rhoi'r symudiad cyntaf ar ochr RADIUS. Gall yr ategyn anfon arwydd EAP-Start yn lle aros am ymateb hunaniaeth cychwynnol, sy'n gadael i'r gweinydd lywio'r cyfnewid. Ffurfweddiad ar lefel ategyn yw hwn, felly mae'n effeithio ar bob cysylltiad sy'n defnyddio'r ategyn.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Dewiswch un trefniant gyda gweithredwr RADIUS yn lle galluogi'r ddau a gobeithio. Maent yn disgrifio llifoedd gwaith gwahanol, ac ni fydd gweinydd sy'n disgwyl dechrau o reidrwydd yn ymdopi â phorth sy'n dechrau'r sgwrs. Mae dogfennaeth yr ategyn yn disgrifio'r ddau, gan gynnwys pa hunaniaeth y mae pob cam yn ei chludo.

Dilynwch un ymgais drwy'r ddau log

Cysylltwch un ymgais ar draws y ddau log. Edrychwch ar yr hunaniaeth IKE, yna a oes cyfnewid EAP-Identity yn digwydd, yna pa enw y mae'r cam dilysu yn ei dderbyn. Gall backend sy'n gwrthod y cyfeiriad cyn y cyfnewid EAP atal y broses cyn i'ch hunaniaeth arfaethedig gael ei gweld erioed.

journalctl -u strongswan -f

Cadwch yr union fformat enw defnyddiwr y mae'r system hunaniaeth yn ei ddisgwyl, gan gynnwys rhagddodiad parth. Peidiwch byth â dyfeisio cyfrif o werth ar ffurf cyfeiriad, a pheidiwch byth â diffodd dilysu i fodloni rheol polisi. Mae hunaniaeth EAP yn enw a haerwyd, ac mae'n rhaid i'r dull ei brofi o hyd. Ysgrifennwch yr enw sy'n deillio i'r cofnod prawf fel bod yr ymgais nesaf yn dechrau o gyflwr hysbys.

Os yw'r llif cywiredig yn cyrraedd y cyfrif cywir ac yn cael ei wrthod o hyd, y dystiolaeth nesaf yw dull EAP a pholisi'r backend, nid yr hunaniaeth. Ni all ailadrodd ailosod cyfrinair atgyweirio gwerth a ddewiswyd ar haen protocol gynharach.

Erthyglau cysylltiedig