eapol_test tra VPN: ĉu la RADIUS-interŝanĝo bezonas tavolon 2?

Petu laboratorian ŝaltilan pordon por povi ruli eapol_test — kaj vi verŝajne miskomprenis la ilon. La samtulo kaj la RADIUS-kliento ambaŭ loĝas ene de tiu ununura duuma dosiero, do la sola konversacio, kiu forlasas la maŝinon, estas la RADIUS-interŝanĝo mem. Enkursigita tunelo inter la testgastiganto kaj la aŭtentiga servilo estas la tuta reta postulo. La fizika 802.1X-vojo estas alia afero, kiun vi eble ankoraŭ devas testi, kaj ĝi ne estas ĉi tiu.

Kial la nomo sendas homojn serĉi ŝaltilan pordon

EAPOL estas la kadra formato, kiun supplicant kaj ŝaltilo uzas en LAN, kaj la ilo prunteprenas la nomon ĉar ĝi kreskis el tiu mondo. Tio, kio estas liverata, estas testprogramo, kiu portas la samtulan statmaŝinon kaj la RADIUS-klienton en unu procezo, do la du duonoj de 802.1X-konversacio neniam renkontiĝas sur drato. La nomo estas historio, ne topologia postulo.

Homoj ankoraŭ petas la pordon ĉar la programo sidas sur la konduto de aŭtentigilo, kaj tio sonas kiel aparataro. Ĝia gluo reproduktas la statmaŝinon de la aŭtentigilo, do testo finiĝas sen ajna alirpunkto en la ĉambro; la kompilita duuma dosiero ligas la EAP-samtulon de wpa_supplicant kun la RADIUS-kliento de hostapd. Forigi la ŝaltilon forigas la EAPOL-salton, ne la aŭtentigan logikon. Kio restas estas klient-servila interŝanĝo inter du IP-gastigantoj.

Spuru unu RADIUS-interŝanĝon salto post salto

Spuru unu provon kaj la vojo estas mallonga. La samtulo ene de eapol_test produktas EAP-Response por la metodo, kiun vi agordis, kaj la RADIUS-kliento en la sama procezo metas ĝin en Access-Request, portante la ŝarĝon en EAP-Message-atributoj apud Message-Authenticator. Tiu datagramo estas adresita al la servilo sur UDP-pordo 1812 kaj forlasas la gastiganton kiel ajna alia IP-paketo, kaj tie envenas la tunelo. La servilo taksas ĝin laŭ sia politiko kaj siaj metodmoduloj, poste respondas per Access-Challenge, Access-Accept aŭ Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

La duuma dosiero prenas la servilan adreson, la pordon kaj la komunan sekreton el la komandlinio, kaj la metodon kaj akreditaĵojn el agorda bloko laŭ stilo wpa_supplicant. Nenio en tiu alvoko dependas de najbareco de tavolo 2: -a estas atingata per enkursigado, kaj VPN, kiu enkursigas ĝin, sufiĉas. Se la tunelo faligas la datagramon, la testo malsukcesas same kiel kontraŭ neatingebla servilo en plata LAN.

La duuma dosiero kaj la servila politiko estas malsamaj listoj

Du sendependaj listoj decidas, ĉu metodo povas trapasi, kaj konfuzi ilin kostas tagon. La unua listo estas kompilita en la duuman dosieron: la konstruagordo elektas, kiuj EAP-metodoj ekzistas, do konstruo sen metodo ne povas trakti ĝin, kion ajn la servilo permesas. La dua listo loĝas sur la servilo, kie politiko diras, kiujn el la subtenataj metodoj tiu klientklaso rajtas uzi. Trapaso postulas komunaĵon, kaj neniu listo povas plenigi mankon en la alia.

Kontrolu tiun unuan liston antaŭ ol kulpigi la servilon. Serĉu la metodnomon en la instalita duuma dosiero, aŭ legu la konstruagordon, el kiu ĝi venis. Se la metodo mankas, rekonstruu anstataŭ redakti la RADIUS-politikon; se ĝi ĉeestas kaj la interŝanĝo ankoraŭ malsukcesas, la problemo moviĝis al akreditaĵoj, politiko aŭ certifikfido.

Kion trapaso ankoraŭ ne kovras

Sukcesa rulo pruvas unu metodon, por unu aro da akreditaĵoj, kontraŭ unu RADIUS-politiko, sur unu reta vojo. Ĝi ne ekzercas la radion de la alirpunkto, la EAPOL-traktadon de ŝaltilo, la VLAN-atribuon, kiu sekvas aŭtentigon, nek la manieron, kiel VPN-koncentrilo integriĝas kun la sama servilo. Tiuj komponantoj neniam estis sur la testita vojo. Traktu la rezulton kiel limigitan pruvon, kaj diru, kiun limon ĝi kovras kiam vi raportas ĝin.

La utila rikordo estas, kion la servilo kaj la procezo ĉiu observis: kiu metodo estis traktata, kie la interŝanĝo haltis, kaj kion la servilo protokolis. Tenu komunan sekretojn kaj privatajn ŝlosilojn ekster tiu rikordo.

Kontrollisto antaŭ ol citi la rezulton

Antaŭ ol iu traktas la eligon kiel aprobon, konfirmu kvar aferojn. La konstruo inkluzivas la testatan metodon, la RADIUS-finpunkto kaj la komuna sekreto apartenas al la testata medio, la servila politiko akceptas tiun testan identecon, kaj la reta vojo estas de la sama klaso kiel la vojo, kiun uzas produktadaj klientoj. Poste nomu, kion la rulo ne tuŝis: alirpunkto, ŝaltilo, VLAN kaj koncentrila integriĝo ĉiu bezonas sian propran linion en la testplano.

Du testoj kun du posedantoj venkas unu ambiguecan aprobon. La rulo de eapol_test respondas la demandon pri metodo kaj servilo; la alirservo respondas la demandon pri devigo.