eapol_test sobre una VPN: ¿necesita el intercambio RADIUS la capa 2?

Pida un puerto de conmutador de laboratorio para poder ejecutar eapol_test y probablemente haya malinterpretado la herramienta. El par y el cliente RADIUS viven ambos dentro de ese único binario, así que la única conversación que sale de la máquina es el propio intercambio RADIUS. Un túnel enrutado entre el host de pruebas y el servidor de autenticación es todo el requisito de red. La ruta física 802.1X es otra cosa que quizá todavía necesite probar, y no es esta.

Por qué el nombre lleva a la gente a buscar un puerto de conmutador

EAPOL es el formato de trama que un suplicante y un conmutador usan en una LAN, y la herramienta toma prestado el nombre porque creció de ese mundo. Lo que se distribuye es un programa de pruebas que lleva la máquina de estados del par y el cliente RADIUS en un solo proceso, así que las dos mitades de una conversación 802.1X nunca se encuentran por un cable. El nombre es historia, no un requisito de topología.

La gente sigue pidiendo el puerto porque el programa se apoya en el comportamiento del autenticador, y eso suena a hardware. Su pegamento reproduce la máquina de estados del autenticador, así que una prueba se completa sin ningún punto de acceso en la sala; el binario compilado enlaza el par EAP de wpa_supplicant con el cliente RADIUS de hostapd. Quitar el conmutador quita el salto EAPOL, no la lógica de autenticación. Lo que queda es un intercambio cliente-servidor entre dos hosts IP.

Siga un intercambio RADIUS salto a salto

Siga un solo intento y la ruta es corta. El par dentro de eapol_test produce una EAP-Response para el método que configuró, y el cliente RADIUS del mismo proceso la pone en una Access-Request, llevando la carga útil en atributos EAP-Message junto a un Message-Authenticator. Ese datagrama se dirige al servidor en el puerto UDP 1812 y sale del host como cualquier otro paquete IP, y ahí es donde entra el túnel. El servidor lo evalúa según su política y sus módulos de métodos, y luego responde con Access-Challenge, Access-Accept o Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

El binario toma la dirección del servidor, el puerto y el secreto compartido de la línea de comandos, y el método y las credenciales de un bloque de configuración al estilo de wpa_supplicant. Nada en esa invocación depende de una adyacencia de capa 2: -a se alcanza por enrutamiento, y basta con una VPN que lo enrute. Si el túnel descarta el datagrama, la prueba falla exactamente igual que contra un servidor inalcanzable en una LAN plana.

El binario y la política del servidor son listas distintas

Dos listas independientes deciden si un método puede pasar, y confundirlas cuesta un día. La primera lista está compilada dentro del binario: la configuración de compilación elige qué métodos EAP existen, así que una compilación sin un método no puede negociarlo haga lo que haga el servidor. La segunda lista vive en el servidor, donde la política dice cuáles de los métodos admitidos puede usar esta clase de cliente. Para pasar hace falta una intersección, y ninguna lista puede llenar un hueco en la otra.

Revise esa primera lista antes de culpar al servidor. Busque el nombre del método en el binario instalado o lea la configuración de compilación de la que salió. Si el método no está, recompile en lugar de editar la política RADIUS; si está y el intercambio sigue fallando, el problema se ha trasladado a las credenciales, la política o la confianza en el certificado.

Lo que una prueba superada todavía no cubre

Una ejecución correcta demuestra un método, para un conjunto de credenciales, contra una política RADIUS, por una ruta de red. No ejercita la radio del punto de acceso, el tratamiento EAPOL de un conmutador, la asignación de VLAN que sigue a la autenticación, ni la forma en que un concentrador VPN se integra con el mismo servidor. Esos componentes nunca estuvieron en la ruta probada. Trate el resultado como evidencia acotada y diga qué cota cubre cuando lo informe.

El registro útil es lo que el servidor y el proceso observaron cada uno: qué método se negoció, dónde se detuvo el intercambio y qué registró el servidor. Mantenga los secretos compartidos y las claves privadas fuera de ese registro.

Lista de comprobación antes de citar el resultado

Antes de que alguien trate la salida como una aprobación, confirme cuatro cosas. La compilación incluye el método probado, el extremo RADIUS y el secreto compartido pertenecen al entorno que se prueba, la política del servidor admite esta identidad de prueba y la ruta de red es de la misma clase que usan los clientes de producción. Luego nombre lo que la ejecución no tocó: punto de acceso, conmutador, VLAN e integración del concentrador necesitan cada uno su propia línea en el plan de pruebas.

Dos pruebas con dos responsables superan una aprobación ambigua. La ejecución de eapol_test responde la pregunta del método y el servidor; el servicio de acceso responde la pregunta de la aplicación.