EAP gennem en VPN-gateway: hvem afslutter metoden

Supportbilletter beskriver et mislykket VPN-login og en RADIUS-politik, der kræver en stærkere metode, som om det var det samme problem, og det er det ikke. Gatewayen accepterer enten en legitimationsoplysning og videresender den, eller den fører en EAP-samtale mellem klienten og autentificeringsserveren. Hvilket af de to der sker, afgør, om en ændring på serversiden overhovedet kan løse noget. Læs udvekslingen, før du redigerer servergruppen.

To autentificeringsveje, der ser ens ud i en log

På den første vej indsamler VPN-gatewayen et brugernavn og en adgangskode og sender en RADIUS Access-Request med et adgangskodeattribut. Autentificeringsserveren sammenligner den med sit lager og svarer accepter eller afvis. Klienten kører aldrig en EAP-metode, fordi intet bad den om det.

På den anden vej kører klienten og autentificeringsserveren EAP-metoden fra ende til ende, og gatewayen videresender EAP-Message-attributter mellem dem. Gatewayen afslutter stadig den ydre RADIUS-samtale, men metodens logik ligger hos de to endepunkter.

Begge veje giver en linje i en log, der siger, at autentificering mislykkedes. Kun den anden kan påvirkes af, hvilken EAP-metode serveren foretrækker, og kun den første af, hvordan gatewayen læser adgangskoden. At behandle dem som udskiftelige er, hvordan teams bruger en dag på at ændre servergrupper for en klient, der aldrig ville tale PEAP.

Hvor metoden faktisk kører

RFC 3579 definerer gennemgangsordningen: NAS'en bærer EAP-pakker i RADIUS-attributter og har ikke brug for metodespecifik kode til hver EAP-type. Derfor kan en gateway understøtte PEAP og EAP-TLS uden at implementere nogen af dem.

En gateway, der indsender en adgangskode, bærer ikke PEAP, selv om backenden ville acceptere PEAP fra en anden klient. At aktivere PEAP i serverpolitikken tilføjer ikke en metode til en klient, der aldrig har tilbudt en.

PPP-autentificeringsindstillinger hører til PPP-tjenesten. De omkonfigurerer ikke stille hver IPsec- eller ældre XAuth-vej, der bruger den samme AAA-server, så en ændring, der virker for én adgangstype, kan lade den anden være urørt.

Hvad NAS'en skal understøtte

Gennemgang flytter kravet fra metodekode til bærersupport. Gatewayen skal kunne bære EAP over sin VPN-protokol, og RADIUS-klienten på den skal kunne sende og modtage EAP-Message-attributter i de pågældende størrelser.

For IKEv2 er EAP en del af et defineret autentificeringsflow, og serverens identitets- og tillidskontroller kommer fra det flow. Et PEAP-mærke lånt fra en 802.1X-udrulning overføres ikke automatisk, fordi forhandlingen omkring det er anderledes.

Klientsiden har også krav. Den skal være konfigureret til metoden, stole på servercertifikatet, som metoden præsenterer, og have legitimationsoplysninger, som metoden kan bruge. En certifikatbaseret metode uden klientcertifikat fejler, før RADIUS ser noget, og det er et klargøringsproblem snarere end et serverpolitikproblem.

Læs ét forsøg, før du ændrer politik

Optag et enkelt godkendt forsøg ved gatewayen og ved autentificeringsserveren. Se efter EAP-Message-attributter i RADIUS-anmodningen. Deres tilstedeværelse fortæller, at gennemgangsvejen er i brug; deres fravær peger på en udveksling af legitimationsoplysninger.

På en Linux-gateway viser en optagelse på RADIUS-porten, hvilke attributter der er på ledningen:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Sammenlign derefter afvisningspunktet. En fejl ved gatewayen før nogen RADIUS-pakke betyder, at klienten og gatewayen var uenige om metoden. En RADIUS-afvisning med EAP-attributter betyder, at endepunkterne kørte metoden, og en af dem afviste resultatet.

Planlæg migreringen som én ændring fra ende til ende

At ændre metoden betyder at ændre klientkonfigurationen, gatewayens bærersupport, serverens metodepolitik og lageret af legitimationsoplysninger sammen. Gør det i den rækkefølge, og hold en fungerende vej, indtil den nye er bevist. En ændring alene på serversiden er et gæt, og den ødelægger normalt de klienter, der virkede. Forbered ændringen på én testidentitet, før du rører gruppen.

Notér den kombination, der virker: VPN-protokol, EAP-bærer, peer-metode, servermetode, type legitimationsoplysning og serveridentitetskontrol.

Hold administrativt AAA-login adskilt fra VPN-autentificering, medmindre opgaven udtrykkeligt omfatter begge. En ændring beregnet til fjernadgang bør ikke fjerne din mulighed for at administrere den enhed, der afslutter den.