EAP μέσω πύλης VPN: ποιος τερματίζει τη μέθοδο

Τα δελτία υποστήριξης περιγράφουν μια αποτυχημένη σύνδεση VPN και μια πολιτική RADIUS που απαιτεί ισχυρότερη μέθοδο σαν να είναι το ίδιο πρόβλημα, και δεν είναι. Η πύλη είτε δέχεται διαπιστευτήρια και τα προωθεί, είτε μεταφέρει μια συνομιλία EAP μεταξύ πελάτη και διακομιστή ελέγχου ταυτότητας. Το τι συμβαίνει από τα δύο καθορίζει αν μια αλλαγή στην πλευρά του διακομιστή μπορεί να διορθώσει κάτι. Διαβάστε την ανταλλαγή πριν επεξεργαστείτε την ομάδα διακομιστή.

Δύο διαδρομές ελέγχου ταυτότητας που μοιάζουν στο αρχείο καταγραφής

Στην πρώτη διαδρομή η πύλη VPN συλλέγει όνομα χρήστη και κωδικό και στέλνει RADIUS Access-Request με χαρακτηριστικό κωδικού. Ο διακομιστής ελέγχου ταυτότητας το συγκρίνει με την αποθήκη του και απαντά αποδοχή ή απόρριψη. Ο πελάτης δεν εκτελεί ποτέ μέθοδο EAP, γιατί κανείς δεν του το ζήτησε.

Στη δεύτερη διαδρομή ο πελάτης και ο διακομιστής εκτελούν τη μέθοδο EAP από άκρη σε άκρη και η πύλη προωθεί χαρακτηριστικά EAP-Message μεταξύ τους. Η πύλη τερματίζει ακόμη την εξωτερική συνομιλία RADIUS, αλλά η λογική της μεθόδου ζει στα δύο άκρα.

Και οι δύο διαδρομές παράγουν μια γραμμή που λέει ότι ο έλεγχος απέτυχε. Μόνο η δεύτερη επηρεάζεται από τη μέθοδο EAP που προτιμά ο διακομιστής και μόνο η πρώτη από το πώς η πύλη διαβάζει τον κωδικό. Το να τις θεωρούμε εναλλάξιμες είναι ο τρόπος που οι ομάδες χάνουν μια μέρα αλλάζοντας ομάδες διακομιστή για έναν πελάτη που ποτέ δεν θα μιλούσε PEAP.

Πού εκτελείται πραγματικά η μέθοδος

RFC 3579 ορίζει τη διάταξη διέλευσης: το NAS μεταφέρει πακέτα EAP σε χαρακτηριστικά RADIUS και δεν χρειάζεται κώδικα ειδικό για κάθε τύπο EAP. Γι' αυτό μια πύλη μπορεί να υποστηρίζει PEAP και EAP-TLS χωρίς να υλοποιεί κανένα.

Μια πύλη που υποβάλλει κωδικό δεν μεταφέρει PEAP, ακόμη κι αν ο διακομιστής υποδομής δεχόταν PEAP από άλλον πελάτη. Η ενεργοποίηση PEAP στην πολιτική διακομιστή δεν προσθέτει μέθοδο σε πελάτη που ποτέ δεν πρόσφερε μία.

Οι ρυθμίσεις ελέγχου ταυτότητας PPP ανήκουν στην υπηρεσία PPP. Δεν επαναρυθμίζουν σιωπηρά κάθε διαδρομή IPsec ή παλαιού XAuth που χρησιμοποιεί τον ίδιο διακομιστή AAA, οπότε μια αλλαγή που δουλεύει για έναν τύπο πρόσβασης μπορεί να αφήσει τον άλλο ανέπαφο.

Τι πρέπει να υποστηρίζει το NAS

Η διέλευση μεταφέρει την απαίτηση από τον κώδικα μεθόδου στην υποστήριξη φορέα. Η πύλη πρέπει να μπορεί να μεταφέρει EAP μέσω του πρωτοκόλλου VPN της και ο πελάτης RADIUS πάνω της να στέλνει και να λαμβάνει χαρακτηριστικά EAP-Message των σχετικών μεγεθών.

Για το IKEv2 το EAP είναι μέρος καθορισμένης ροής ελέγχου ταυτότητας και οι έλεγχοι ταυτότητας και εμπιστοσύνης του διακομιστή προέρχονται από αυτή τη ροή. Μια ετικέτα PEAP δανεισμένη από ανάπτυξη 802.1X δεν μεταφέρεται αυτόματα, γιατί η διαπραγμάτευση γύρω της διαφέρει.

Και η πλευρά πελάτη έχει απαιτήσεις. Πρέπει να έχει ρυθμιστεί για τη μέθοδο, να εμπιστεύεται το πιστοποιητικό διακομιστή που παρουσιάζει η μέθοδος και να έχει διαπιστευτήρια που η μέθοδος μπορεί να χρησιμοποιήσει. Μια μέθοδος με πιστοποιητικά χωρίς πιστοποιητικό πελάτη αποτυγχάνει πριν το RADIUS δει οτιδήποτε, που είναι πρόβλημα προετοιμασίας, όχι πολιτικής διακομιστή.

Διαβάστε μία απόπειρα πριν αλλάξετε πολιτική

Καταγράψτε μία εγκεκριμένη απόπειρα στην πύλη και στον διακομιστή ελέγχου ταυτότητας. Ψάξτε για χαρακτηριστικά EAP-Message στο αίτημα RADIUS. Η παρουσία τους δείχνει ότι χρησιμοποιείται η διαδρομή διέλευσης· η απουσία τους δείχνει ανταλλαγή διαπιστευτηρίων.

Σε πύλη Linux μια καταγραφή στη θύρα RADIUS δείχνει ποια χαρακτηριστικά είναι στο καλώδιο:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Στη συνέχεια συγκρίνετε το σημείο απόρριψης. Αποτυχία στην πύλη πριν από οποιοδήποτε πακέτο RADIUS σημαίνει ότι πελάτης και πύλη διαφώνησαν για τη μέθοδο. Απόρριψη RADIUS με χαρακτηριστικά EAP σημαίνει ότι τα άκρα εκτέλεσαν τη μέθοδο και ένα από αυτά απέρριψε το αποτέλεσμα.

Σχεδιάστε τη μετεγκατάσταση ως μία αλλαγή από άκρη σε άκρη

Η αλλαγή μεθόδου σημαίνει αλλαγή της διαμόρφωσης πελάτη, της υποστήριξης φορέα στην πύλη, της πολιτικής μεθόδου στον διακομιστή και της αποθήκης διαπιστευτηρίων μαζί. Κάντε τις με αυτή τη σειρά και κρατήστε μια λειτουργική διαδρομή μέχρι να αποδειχθεί η νέα. Μια αλλαγή μόνο στον διακομιστή είναι εικασία και συνήθως σπάει τους πελάτες που δούλευαν. Προετοιμάστε την αλλαγή σε μία δοκιμαστική ταυτότητα πριν αγγίξετε την ομάδα.

Καταγράψτε τον συνδυασμό που λειτουργεί: πρωτόκολλο VPN, φορέας EAP, μέθοδος ομοτίμου, μέθοδος διακομιστή, τύπος διαπιστευτηρίων και έλεγχος ταυτότητας διακομιστή.

Κρατήστε τη διαχειριστική σύνδεση AAA χωριστά από τον έλεγχο ταυτότητας VPN, εκτός αν η εργασία περιλαμβάνει ρητά και τα δύο. Μια αλλαγή για απομακρυσμένη πρόσβαση δεν πρέπει να σας αφαιρέσει τη δυνατότητα διαχείρισης της συσκευής που την τερματίζει.