EAP aŭ klientaj atestiloj? Decidi la IKEv2-aŭtentikigon

Via kluzo povas pruvi sian propran identecon per atestilo dum ĝi pruvas vian per EAP, kaj tiu kombinaĵo estas ordinara, ne kontraŭdira. La du mekanismoj respondas malsamajn demandojn: ĉu ĉi tiu finpunkto estas tiu, kiun mi atendas, kaj ĉu ĉi tiu uzanto aŭ aparato rajtas. Vidi EAP en profilo ne malŝaltas servilan validigon. Legi la profilon kiel unu solan agordon estas tio, kio sendas homojn restarigi la malĝustan legitimilon.

Decidu, kiu aserto malsukcesis, antaŭ ol tuŝi ajnan el la du objektoj. La malsukcesa etapo diras tion al vi, se vi legas ĝin laŭorde.

Du legitimiloj, du asertoj

Servila atestilo ligas nomon al ŝlosilo, kaj la kliento kontrolas tiun ligon kontraŭ sia fida stokejo. Klienta atestilo ligas identecon al ŝlosilo, kaj la kluzo kontrolas, ĉu la prezentita atestilo ĉenas al io, kion ĝi fidas. EAP portas aŭtentikigan interŝanĝon, kies enhavo dependas de la elektita metodo. Tio estas tri strukturoj kun malsamaj vivdaŭroj, malsamaj posedantoj kaj malsamaj malsukcesmanieroj.

Pasfrazo, kiu malŝlosas privatan ŝlosilon, ne estas konta pasvorto, eĉ kiam ambaŭ instigoj aperas ene de sekundoj unu de la alia. Unu estas loka en la ŝlosilstokejo de la aparato, kaj la alian validigas aŭtentikiga servilo malantaŭ la kluzo.

EAP estas ujo, ne metodo

EAP estas kadro: la kluzo kaj la kliento interkonsentas metodon, kaj la metodo decidas, ĉu pasvorto, ĵetono, tuneligita interna interŝanĝo aŭ atestilo partoprenas, kiel klarigas la dokumentaro de strongSwan pri IKEv2. Tial EAP-TLS tute ne similas al EAP-MSCHAPv2 el la flanko de la kliento, kvankam ambaŭ aperas kiel EAP en menuo. Profilo, kiu nomas nur EAP, ne diris al vi, kion oni demandos al la uzanto.

Legu la metodon kaj la malantaŭan sistemon kune. La malantaŭa sistemo difinas la kontan formaton, la konduton de ŝloso kaj kion restarigo de pasvorto efektive ŝanĝas, kaj nenio el tio videblas en la klienta profilo.

La miksita deplojo estas normala

Servila atestilo plus EAP por la uzanto estas la formo, kiun deplojas la plej multaj kluzoj por fora aliro, ĉar ĝi donas al la kliento kontroleblan finpunkton kaj al la operatoro identecon por ĉiu uzanto en centra konta stokejo. Ekzistas ankaŭ deplojoj kun klientaj atestiloj, kutime tie, kie aparata identeco gravas pli ol pasvorto. Ambaŭ estas legitimaj, kaj la eraro estas supozi, ke tio, kion vi vidis pasintsemajne, estas tio, kio staras antaŭ vi.

Petu de la operatoro la dokumentitan metodon kaj kontan formaton anstataŭ dedukti ilin el kampnomoj en kliento.

Decidi laŭ la malsukcesa etapo

Ordigu la observojn. Fida eraro antaŭ ajna uzanta instigo estas servila atestila problemo kaj neniu pasvorto riparos ĝin. Instigo sekvata de rifuzo estas problemo de uzanta aŭtentikigo, kun la metodo EAP kaj la malantaŭa sistemo kiel suspektatoj. Sukcesa aŭtentikigo sekvata de malsukceso de child-SA estas nek unu nek la alia.

Du pliaj distingoj gravas. Kliento, kiu rifuzas la servilan atestilon, kutime raportas nommiskongruon aŭ nekonatan aŭtoritaton, kio estas demando pri fida stokejo. Kluzo, kiu rifuzas la uzanton, ofte registras la metodon EAP kaj kategorion de kaŭzo, kio estas demando pri konto aŭ politiko.

Operacii la du modelojn

Por atestiloj la laboro estas eldonado, renovigo, revokado kaj forigo de perditaj aparatoj, kaj ĝi okazas laŭ horaro, kiun vi regas. Por EAP la laboro estas la vivciklo de la konto, subteno de metodoj sur ĉiu klienta platformo, kaj kia ajn dua faktoro la malantaŭa sistemo postulas. Neniu modelo estas abstrakte pli malmultekosta; ili ŝarĝas malsamajn teamojn. Skribu, kiun via deplojo efektive uzas, ĉar la subtenaj skriptoj diferencas pli ol la agordo.

Tenu ilin aparte en viaj notoj. Atestila eksvalidiĝo kaŭzas malsukceson je difinita dato, konta ŝloso kaŭzas malsukceson post pasvorta ŝanĝo, kaj metodmiskongruo kaŭzas malsukceson nur sur unu platformo.

Post kiam la identeco estas akceptita

Aŭtentikigo estas unu pordego. La ida sekureca asocio, la trafikoselektiloj, DNS kaj la propraj permesoj de la aplikaĵo estas postaj pordegoj, kaj ĉiu malsukcesas laŭ siaj propraj kondiĉoj. Akceptita identeco, kiu atingas nenion, ne estas aŭtentikiga problemo.

Registru la metodon, la uzitan konton aŭ atestilon, kaj la etapon, kiu malsukcesis. Tiu noto igas la sekvan incidenton serĉo anstataŭ eksperimento.