eapol_test over en VPN: kræver RADIUS-udvekslingen lag 2?

Bed om en laboratorie-switchport, så du kan køre eapol_test — og du har sandsynligvis misforstået værktøjet. Peer og RADIUS-klient ligger begge inde i den ene binære fil, så den eneste samtale, der forlader maskinen, er selve RADIUS-udvekslingen. En routet tunnel mellem testværten og autentificeringsserveren er hele netværkskravet. Den fysiske 802.1X-vej er en anden ting, du måske stadig skal teste, og det er ikke denne.

Hvorfor navnet sender folk på jagt efter en switchport

EAPOL er det rammeformat, som en supplicant og en switch bruger på et LAN, og værktøjet låner navnet, fordi det voksede ud af den verden. Det, der leveres, er et testprogram, der bærer peer-tilstandsmaskinen og RADIUS-klienten i én proces, så de to halvdele af en 802.1X-samtale mødes aldrig over en ledning. Navnet er historie, ikke et topologikrav.

Folk beder stadig om porten, fordi programmet hviler på autentifikatoradfærd, og det lyder som hardware. Dets lim gengiver autentifikatorens tilstandsmaskine, så en test fuldføres uden et accesspunkt i lokalet; den kompilerede binære fil linker wpa_supplicants EAP-peer med hostapds RADIUS-klient. Fjerner man switchen, fjerner man EAPOL-hoppet, ikke autentificeringslogikken. Det, der er tilbage, er en klient-server-udveksling mellem to IP-værter.

Følg én RADIUS-udveksling hop for hop

Følg ét forsøg, og vejen er kort. Peeren inde i eapol_test producerer et EAP-Response til den metode, du konfigurerede, og RADIUS-klienten i samme proces lægger det i en Access-Request og bærer nyttelasten i EAP-Message-attributter ved siden af en Message-Authenticator. Den datagram adresseres til serveren på UDP-port 1812 og forlader værten som enhver anden IP-pakke, og det er her, tunnelen kommer ind. Serveren vurderer den mod sin politik og sine metodemoduler og svarer derefter med Access-Challenge, Access-Accept eller Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Den binære fil tager serveradressen, porten og den delte hemmelighed fra kommandolinjen og metoden og legitimationsoplysningerne fra en konfigurationsblok i wpa_supplicant-stil. Intet i det kald afhænger af naboskab på lag 2: -a nås ved routing, og en VPN, der router den, er nok. Hvis tunnelen taber datagrammet, fejler testen præcis som mod en utilgængelig server på et fladt LAN.

Den binære fil og serverpolitikken er forskellige lister

To uafhængige lister afgør, om en metode kan passere, og at forveksle dem koster en dag. Den første liste er kompileret ind i den binære fil: build-konfigurationen vælger, hvilke EAP-metoder der findes, så et build uden en metode kan ikke forhandle den, uanset hvad serveren tillader. Den anden liste lever på serveren, hvor politikken siger, hvilke af de understøttede metoder denne klientklasse må bruge. Et gennemløb kræver et snit, og ingen af listerne kan udfylde et hul i den anden.

Kontrollér den første liste, før du bebrejder serveren. Søg efter metodenavnet i den installerede binære fil, eller læs den build-konfiguration, den kom fra. Hvis metoden mangler, så genopbyg i stedet for at redigere RADIUS-politikken; hvis den findes, og udvekslingen stadig fejler, er problemet flyttet til legitimationsoplysninger, politik eller certifikattillid.

Hvad et gennemløb stadig ikke dækker

En vellykket kørsel beviser én metode, for ét sæt legitimationsoplysninger, mod én RADIUS-politik, over én netværksvej. Den udøver ikke accesspunktets radio, en switchs EAPOL-håndtering, den VLAN-tildeling, der følger efter autentificering, eller den måde, en VPN-koncentrator integrerer med den samme server. De komponenter var aldrig på den testede vej. Behandl resultatet som afgrænset evidens, og sig, hvilken grænse det dækker, når du rapporterer det.

Den nyttige registrering er, hvad serveren og processen hver især observerede: hvilken metode der blev forhandlet, hvor udvekslingen stoppede, og hvad serveren loggede. Hold delte hemmeligheder og private nøgler ude af den registrering.

Tjekliste, før du citerer resultatet

Før nogen behandler outputtet som en godkendelse, bekræft fire ting. Buildet indeholder den testede metode, RADIUS-endepunktet og den delte hemmelighed tilhører det miljø, der testes, serverpolitikken tillader denne testidentitet, og netværksvejen er af samme klasse som den, produktionsklienter bruger. Navngiv derefter, hvad kørslen ikke rørte: accesspunkt, switch, VLAN og koncentratorintegration har hver brug for deres egen linje i testplanen.

To tests med to ejere slår én tvetydig godkendelse. Kørslen med eapol_test besvarer metode-og-server-spørgsmålet; adgangstjenesten besvarer håndhævelsesspørgsmålet.