eapol_test μέσω VPN: χρειάζεται η ανταλλαγή RADIUS το επίπεδο 2;

Ζητήστε μια θύρα μεταγωγέα εργαστηρίου για να εκτελέσετε το eapol_test — και πιθανότατα έχετε παρερμηνεύσει το εργαλείο. Ο peer και ο πελάτης RADIUS ζουν και οι δύο μέσα σε αυτό το ένα δυαδικό αρχείο, άρα η μόνη συνομιλία που φεύγει από το μηχάνημα είναι η ίδια η ανταλλαγή RADIUS. Μια δρομολογημένη σήραγγα ανάμεσα στον κεντρικό υπολογιστή δοκιμής και στον διακομιστή ταυτοποίησης είναι ολόκληρη η απαίτηση δικτύου. Η φυσική διαδρομή 802.1X είναι άλλο πράγμα που ίσως χρειαστεί ακόμη να δοκιμάσετε, και δεν είναι αυτή.

Γιατί το όνομα στέλνει κόσμο να ψάχνει θύρα μεταγωγέα

Το EAPOL είναι η μορφή πλαισίου που χρησιμοποιούν ένας supplicant και ένας μεταγωγέας σε ένα LAN, και το εργαλείο δανείζεται το όνομα επειδή μεγάλωσε από εκείνον τον κόσμο. Αυτό που διανέμεται είναι ένα πρόγραμμα δοκιμής που μεταφέρει τη μηχανή καταστάσεων του peer και τον πελάτη RADIUS σε μία διεργασία, άρα τα δύο μισά μιας συνομιλίας 802.1X δεν συναντιούνται ποτέ πάνω από ένα καλώδιο. Το όνομα είναι ιστορία, όχι απαίτηση τοπολογίας.

Ο κόσμος εξακολουθεί να ζητά τη θύρα επειδή το πρόγραμμα στηρίζεται στη συμπεριφορά του authenticator, και αυτό ακούγεται σαν υλικό. Η κόλλα του αναπαράγει τη μηχανή καταστάσεων του authenticator, άρα μια δοκιμή ολοκληρώνεται χωρίς σημείο πρόσβασης στην αίθουσα· το μεταγλωττισμένο δυαδικό συνδέει τον EAP peer του wpa_supplicant με τον πελάτη RADIUS του hostapd. Η αφαίρεση του μεταγωγέα αφαιρεί το άλμα EAPOL, όχι τη λογική ταυτοποίησης. Αυτό που μένει είναι μια ανταλλαγή πελάτη-διακομιστή ανάμεσα σε δύο κεντρικούς υπολογιστές IP.

Ακολουθήστε μια ανταλλαγή RADIUS άλμα προς άλμα

Ακολουθήστε μία προσπάθεια και η διαδρομή είναι σύντομη. Ο peer μέσα στο eapol_test παράγει ένα EAP-Response για τη μέθοδο που ρυθμίσατε, και ο πελάτης RADIUS στην ίδια διεργασία το βάζει σε ένα Access-Request, μεταφέροντας το φορτίο σε γνωρίσματα EAP-Message δίπλα σε ένα Message-Authenticator. Αυτό το datagram απευθύνεται στον διακομιστή στη θύρα UDP 1812 και φεύγει από τον κεντρικό υπολογιστή όπως κάθε άλλο πακέτο IP, και εκεί μπαίνει η σήραγγα. Ο διακομιστής το αξιολογεί με βάση την πολιτική του και τις μονάδες μεθόδων του και μετά απαντά με Access-Challenge, Access-Accept ή Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Το δυαδικό παίρνει τη διεύθυνση του διακομιστή, τη θύρα και το κοινόχρηστο μυστικό από τη γραμμή εντολών, και τη μέθοδο και τα διαπιστευτήρια από ένα μπλοκ ρυθμίσεων σε στυλ wpa_supplicant. Τίποτα σε αυτή την κλήση δεν εξαρτάται από γειτνίαση επιπέδου 2: -a φτάνεται με δρομολόγηση, και ένα VPN που το δρομολογεί αρκεί. Αν η σήραγγα ρίξει το datagram, η δοκιμή αποτυγχάνει ακριβώς όπως απέναντι σε έναν μη προσπελάσιμο διακομιστή σε ένα επίπεδο LAN.

Το δυαδικό και η πολιτική του διακομιστή είναι διαφορετικές λίστες

Δύο ανεξάρτητες λίστες αποφασίζουν αν μια μέθοδος μπορεί να περάσει, και το να τις μπερδέψετε κοστίζει μια μέρα. Η πρώτη λίστα είναι μεταγλωττισμένη στο δυαδικό: η ρύθμιση κατασκευής επιλέγει ποιες μέθοδοι EAP υπάρχουν, άρα μια κατασκευή χωρίς μια μέθοδο δεν μπορεί να τη διαπραγματευτεί ό,τι κι αν επιτρέπει ο διακομιστής. Η δεύτερη λίστα ζει στον διακομιστή, όπου η πολιτική λέει ποιες από τις υποστηριζόμενες μεθόδους επιτρέπεται να χρησιμοποιεί αυτή η κλάση πελατών. Το πέρασμα απαιτεί τομή, και καμία λίστα δεν μπορεί να καλύψει ένα κενό στην άλλη.

Ελέγξτε εκείνη την πρώτη λίστα πριν κατηγορήσετε τον διακομιστή. Αναζητήστε το όνομα της μεθόδου στο εγκατεστημένο δυαδικό ή διαβάστε τη ρύθμιση κατασκευής από την οποία προήλθε. Αν η μέθοδος λείπει, ξαναχτίστε αντί να επεξεργαστείτε την πολιτική RADIUS· αν υπάρχει και η ανταλλαγή εξακολουθεί να αποτυγχάνει, το πρόβλημα μετακινήθηκε σε διαπιστευτήρια, πολιτική ή εμπιστοσύνη πιστοποιητικού.

Τι δεν καλύπτει ακόμη ένα πέρασμα

Μια επιτυχημένη εκτέλεση αποδεικνύει μία μέθοδο, για ένα σύνολο διαπιστευτηρίων, απέναντι σε μία πολιτική RADIUS, πάνω από μία διαδρομή δικτύου. Δεν ασκεί το ραδιόφωνο του σημείου πρόσβασης, τον χειρισμό EAPOL ενός μεταγωγέα, την εκχώρηση VLAN που ακολουθεί την ταυτοποίηση, ούτε τον τρόπο με τον οποίο ένας συγκεντρωτής VPN ενσωματώνεται στον ίδιο διακομιστή. Αυτά τα στοιχεία δεν ήταν ποτέ στη δοκιμασμένη διαδρομή. Αντιμετωπίστε το αποτέλεσμα ως περιορισμένη απόδειξη και πείτε ποιο όριο καλύπτει όταν το αναφέρετε.

Το χρήσιμο αρχείο είναι τι παρατήρησε ο διακομιστής και η διεργασία το καθένα: ποια μέθοδος διαπραγματεύτηκε, πού σταμάτησε η ανταλλαγή και τι κατέγραψε ο διακομιστής. Κρατήστε τα κοινόχρηστα μυστικά και τα ιδιωτικά κλειδιά έξω από αυτό το αρχείο.

Λίστα ελέγχου πριν παραθέσετε το αποτέλεσμα

Πριν κάποιος αντιμετωπίσει την έξοδο ως έγκριση, επιβεβαιώστε τέσσερα πράγματα. Η κατασκευή περιλαμβάνει τη μέθοδο υπό δοκιμή, το τελικό σημείο RADIUS και το κοινόχρηστο μυστικό ανήκουν στο περιβάλλον που δοκιμάζεται, η πολιτική του διακομιστή δέχεται αυτή την ταυτότητα δοκιμής, και η διαδρομή δικτύου είναι ίδιας κλάσης με τη διαδρομή που χρησιμοποιούν οι πελάτες παραγωγής. Μετά ονομάστε τι δεν άγγιξε η εκτέλεση: σημείο πρόσβασης, μεταγωγέας, VLAN και ενσωμάτωση συγκεντρωτή χρειάζονται το καθένα τη δική του γραμμή στο σχέδιο δοκιμών.

Δύο δοκιμές με δύο υπεύθυνους νικούν μία αμφίσημη έγκριση. Η εκτέλεση του eapol_test απαντά στο ερώτημα μεθόδου-και-διακομιστή· η υπηρεσία πρόσβασης απαντά στο ερώτημα επιβολής.