eapol_test über ein VPN: Braucht der RADIUS-Austausch Schicht 2?

Bitten Sie um einen Labor-Switchport, um eapol_test auszuführen — und vermutlich haben Sie das Werkzeug falsch verstanden. Peer und RADIUS-Client leben beide in dieser einen Binärdatei, sodass die einzige Konversation, die den Rechner verlässt, der RADIUS-Austausch selbst ist. Ein gerouteter Tunnel zwischen Testhost und Authentifizierungsserver ist die gesamte Netzwerkanforderung. Der physische 802.1X-Pfad ist etwas anderes, das Sie vielleicht noch testen müssen, und nicht dieses.

Warum der Name Leute nach einem Switchport suchen lässt

EAPOL ist das Frame-Format, das ein Supplicant und ein Switch in einem LAN verwenden, und das Werkzeug entlehnt den Namen, weil es aus dieser Welt gewachsen ist. Geliefert wird ein Testprogramm, das die Peer-Zustandsmaschine und den RADIUS-Client in einem Prozess trägt, sodass sich die beiden Hälften einer 802.1X-Konversation nie über eine Leitung treffen. Der Name ist Geschichte, keine Topologieanforderung.

Leute fragen weiterhin nach dem Port, weil das Programm auf dem Verhalten eines Authenticators sitzt, und das klingt nach Hardware. Sein Kleber bildet die Authenticator-Zustandsmaschine nach, sodass ein Test ohne Access Point im Raum abgeschlossen wird; die kompilierte Binärdatei bindet den EAP-Peer von wpa_supplicant an den RADIUS-Client von hostapd. Den Switch zu entfernen entfernt den EAPOL-Hop, nicht die Authentifizierungslogik. Was bleibt, ist ein Client-Server-Austausch zwischen zwei IP-Hosts.

Verfolgen Sie einen RADIUS-Austausch Hop für Hop

Verfolgen Sie einen einzelnen Versuch, und der Pfad ist kurz. Der Peer in eapol_test erzeugt eine EAP-Response für die von Ihnen konfigurierte Methode, und der RADIUS-Client im selben Prozess packt sie in eine Access-Request und trägt die Nutzlast in EAP-Message-Attributen neben einem Message-Authenticator. Dieses Datagramm ist an den Server auf UDP-Port 1812 adressiert und verlässt den Host wie jedes andere IP-Paket, und hier kommt der Tunnel ins Spiel. Der Server bewertet es gegen seine Richtlinie und seine Methodenmodule und antwortet dann mit Access-Challenge, Access-Accept oder Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Die Binärdatei nimmt Serveradresse, Port und gemeinsames Geheimnis von der Kommandozeile und die Methode und Anmeldedaten aus einem Konfigurationsblock im wpa_supplicant-Stil. Nichts an diesem Aufruf hängt von einer Schicht-2-Nachbarschaft ab: -a wird per Routing erreicht, und ein VPN, das es routet, genügt. Lässt der Tunnel das Datagramm fallen, schlägt der Test genau so fehl wie gegen einen unerreichbaren Server in einem flachen LAN.

Die Binärdatei und die Serverrichtlinie sind verschiedene Listen

Zwei unabhängige Listen entscheiden, ob eine Methode durchkommt, und sie zu verwechseln kostet einen Tag. Die erste Liste ist in die Binärdatei kompiliert: Die Build-Konfiguration wählt aus, welche EAP-Methoden existieren, sodass ein Build ohne eine Methode sie nicht aushandeln kann, egal was der Server erlaubt. Die zweite Liste lebt auf dem Server, wo die Richtlinie sagt, welche der unterstützten Methoden diese Clientklasse verwenden darf. Ein Durchkommen erfordert eine Schnittmenge, und keine Liste kann eine Lücke in der anderen füllen.

Prüfen Sie diese erste Liste, bevor Sie den Server beschuldigen. Suchen Sie den Methodennamen in der installierten Binärdatei oder lesen Sie die Build-Konfiguration, aus der sie stammt. Fehlt die Methode, bauen Sie neu, statt die RADIUS-Richtlinie zu bearbeiten; ist sie vorhanden und der Austausch scheitert weiterhin, hat sich das Problem zu Anmeldedaten, Richtlinie oder Zertifikatsvertrauen verschoben.

Was ein Durchkommen noch nicht abdeckt

Ein erfolgreicher Lauf beweist eine Methode, für einen Satz Anmeldedaten, gegen eine RADIUS-Richtlinie, über einen Netzwerkpfad. Er übt weder das Funkmodul des Access Points noch die EAPOL-Behandlung eines Switchs, noch die VLAN-Zuweisung nach der Authentifizierung aus, und auch nicht die Art, wie ein VPN-Konzentrator sich in denselben Server integriert. Diese Komponenten waren nie auf dem getesteten Pfad. Behandeln Sie das Ergebnis als begrenzten Beleg und sagen Sie, welche Grenze es abdeckt, wenn Sie es melden.

Der nützliche Datensatz ist, was der Server und der Prozess jeweils beobachtet haben: welche Methode ausgehandelt wurde, wo der Austausch endete und was der Server protokollierte. Halten Sie gemeinsame Geheimnisse und private Schlüssel aus diesem Datensatz heraus.

Checkliste, bevor Sie das Ergebnis zitieren

Bevor jemand die Ausgabe als Freigabe behandelt, bestätigen Sie vier Dinge. Der Build enthält die getestete Methode, RADIUS-Endpunkt und gemeinsames Geheimnis gehören zur getesteten Umgebung, die Serverrichtlinie lässt diese Testidentität zu, und der Netzwerkpfad ist dieselbe Klasse von Pfad, die Produktionsclients verwenden. Benennen Sie dann, was der Lauf nicht berührt hat: Access Point, Switch, VLAN und Konzentratorintegration brauchen jeweils ihre eigene Zeile im Testplan.

Zwei Tests mit zwei Verantwortlichen schlagen eine mehrdeutige Freigabe. Der Lauf von eapol_test beantwortet die Methode-und-Server-Frage; der Zugangsdienst beantwortet die Durchsetzungsfrage.