EAP ή πιστοποιητικά πελάτη; Αποφασίζοντας την αυθεντικοποίηση IKEv2

Η πύλη σας μπορεί να αποδείξει τη δική της ταυτότητα με πιστοποιητικό ενώ αποδεικνύει τη δική σας μέσω EAP, και ο συνδυασμός αυτός είναι συνηθισμένος και όχι αντιφατικός. Οι δύο μηχανισμοί απαντούν σε διαφορετικά ερωτήματα: είναι αυτό το άκρο εκείνο που περιμένω, και επιτρέπεται αυτός ο χρήστης ή η συσκευή. Η εμφάνιση EAP σε ένα προφίλ δεν απενεργοποιεί την επικύρωση διακομιστή. Η ανάγνωση του προφίλ ως μίας μόνο ρύθμισης είναι αυτό που οδηγεί τους ανθρώπους να επαναφέρουν το λάθος διαπιστευτήριο.

Προσδιορίστε ποια αξίωση απέτυχε πριν αγγίξετε οποιοδήποτε από τα δύο αντικείμενα. Το στάδιο αποτυχίας σας το λέει, αν το διαβάσετε με σειρά.

Δύο διαπιστευτήρια, δύο αξιώσεις

Ένα πιστοποιητικό διακομιστή δεσμεύει ένα όνομα σε ένα κλειδί, και ο πελάτης ελέγχει αυτή τη δέσμευση ως προς το δικό του χώρο εμπιστοσύνης. Ένα πιστοποιητικό πελάτη δεσμεύει μια ταυτότητα σε ένα κλειδί, και η πύλη ελέγχει αν το προσκομιζόμενο πιστοποιητικό αλυσιδώνει προς κάτι που εμπιστεύεται. Το EAP μεταφέρει μια ανταλλαγή αυθεντικοποίησης της οποίας το περιεχόμενο εξαρτάται από τη μέθοδο που επιλέχθηκε. Πρόκειται για τρεις δομές με διαφορετική διάρκεια ζωής, διαφορετικούς ιδιοκτήτες και διαφορετικούς τρόπους αποτυχίας.

Μια φράση πρόσβασης που ξεκλειδώνει ένα ιδιωτικό κλειδί δεν είναι κωδικός λογαριασμού, ακόμη και όταν και οι δύο προτροπές εμφανίζονται μέσα σε δευτερόλεπτα η μία από την άλλη. Η μία είναι τοπική στην αποθήκη κλειδιών της συσκευής, και η άλλη επικυρώνεται από διακομιστή αυθεντικοποίησης πίσω από την πύλη.

Το EAP είναι δοχείο, όχι μέθοδος

Το EAP είναι πλαίσιο: η πύλη και ο πελάτης διαπραγματεύονται μια μέθοδο, και η μέθοδος αποφασίζει αν εμπλέκονται κωδικός, διακριτικό, σηραγγωμένη εσωτερική ανταλλαγή ή πιστοποιητικό, όπως εκθέτει η τεκμηρίωση του strongSwan για το IKEv2. Γι’ αυτό το EAP-TLS δεν μοιάζει καθόλου με το EAP-MSCHAPv2 από την πλευρά του πελάτη, αν και τα δύο εμφανίζονται ως EAP σε ένα μενού. Ένα προφίλ που αναφέρει μόνο EAP δεν σας είπε τι θα ζητηθεί από τον χρήστη.

Διαβάστε τη μέθοδο και το backend μαζί. Το backend καθορίζει τη μορφή λογαριασμού, τη συμπεριφορά κλειδώματος και το τι πραγματικά αλλάζει μια επαναφορά κωδικού, και τίποτα από αυτά δεν είναι ορατό στο προφίλ του πελάτη.

Η μικτή ανάπτυξη είναι φυσιολογική

Πιστοποιητικό διακομιστή συν EAP για τον χρήστη είναι η μορφή που αναπτύσσουν οι περισσότερες πύλες απομακρυσμένης πρόσβασης, επειδή δίνει στον πελάτη επαληθεύσιμο άκρο και στον διαχειριστή ταυτότητα ανά χρήστη σε κεντρική αποθήκη λογαριασμών. Υπάρχουν και αναπτύξεις με πιστοποιητικά πελάτη, συνήθως όπου η ταυτότητα συσκευής μετράει περισσότερο από έναν κωδικό. Και οι δύο είναι θεμιτές, και το λάθος είναι να υποθέσετε ότι αυτό που είδατε την περασμένη εβδομάδα είναι αυτό που έχετε μπροστά σας.

Ζητήστε από τον διαχειριστή τη τεκμηριωμένη μέθοδο και τη μορφή λογαριασμού αντί να τα συνάγετε από ονόματα πεδίων σε έναν πελάτη.

Απόφαση από το στάδιο αποτυχίας

Ταξινομήστε τις παρατηρήσεις. Σφάλμα εμπιστοσύνης πριν από οποιαδήποτε προτροπή χρήστη είναι πρόβλημα πιστοποιητικού διακομιστή και κανένας κωδικός δεν το διορθώνει. Προτροπή που ακολουθείται από απόρριψη είναι πρόβλημα αυθεντικοποίησης χρήστη, με τη μέθοδο EAP και το backend ως υπόπτους. Επιτυχής αυθεντικοποίηση που ακολουθείται από αποτυχία child-SA δεν είναι κανένα από τα δύο.

Δύο ακόμη διακρίσεις μετρούν. Ένας πελάτης που απορρίπτει το πιστοποιητικό διακομιστή συνήθως αναφέρει αναντιστοιχία ονόματος ή άγνωστη αρχή, που είναι ζήτημα χώρου εμπιστοσύνης. Μια πύλη που απορρίπτει τον χρήστη συχνά καταγράφει τη μέθοδο EAP και μια κατηγορία αιτίας, που είναι ζήτημα λογαριασμού ή πολιτικής.

Λειτουργία των δύο μοντέλων

Για τα πιστοποιητικά η εργασία είναι έκδοση, ανανέωση, ανάκληση και αφαίρεση χαμένων συσκευών, και συμβαίνει σε χρονοδιάγραμμα που ελέγχετε. Για το EAP η εργασία είναι ο κύκλος ζωής λογαριασμού, η υποστήριξη μεθόδων σε κάθε πλατφόρμα πελάτη και όποιος δεύτερος παράγοντας απαιτεί το backend. Κανένα μοντέλο δεν είναι φθηνότερο αφηρημένα· επιβαρύνουν διαφορετικές ομάδες. Καταγράψτε ποιο χρησιμοποιεί πραγματικά η ανάπτυξή σας, γιατί τα σενάρια υποστήριξης διαφέρουν περισσότερο από τη διαμόρφωση.

Κρατήστε τα χωριστά στις σημειώσεις σας. Η λήξη πιστοποιητικού παράγει αποτυχία σε μια ημερομηνία, το κλείδωμα λογαριασμού παράγει αποτυχία μετά από αλλαγή κωδικού, και η αναντιστοιχία μεθόδου παράγει αποτυχία μόνο σε μία πλατφόρμα.

Αφού γίνει αποδεκτή η ταυτότητα

Η αυθεντικοποίηση είναι μία πύλη. Η θυγατρική σχέση ασφαλείας, οι επιλογείς κίνησης, το DNS και τα δικά της δικαιώματα της εφαρμογής είναι μεταγενέστερες πύλες, και καθεμία αποτυγχάνει με τους δικούς της όρους. Μια αποδεκτή ταυτότητα που δεν φτάνει πουθενά δεν είναι πρόβλημα αυθεντικοποίησης.

Καταγράψτε τη μέθοδο, τον λογαριασμό ή το πιστοποιητικό που χρησιμοποιήθηκε και το στάδιο που απέτυχε. Αυτή η σημείωση μετατρέπει το επόμενο περιστατικό σε αναζήτηση αντί για πείραμα.