EAP või kliendisertifikaadid? IKEv2 autentimise otsustamine

Teie lüüs saab tõestada oma identiteeti sertifikaadiga ja teie oma EAP kaudu, ning see kombinatsioon on tavaline, mitte vastuoluline. Kaks mehhanismi vastavad erinevatele küsimustele: kas see lõpp-punkt on see, mida ma ootan, ja kas see kasutaja või seade on lubatud. EAP nägemine profiilis ei lülita serveri valideerimist välja. Profiili lugemine ühe seadistusena on see, mis paneb inimesi lähtestama vale mandaati.

Tehke kindlaks, milline väide ebaõnnestus, enne kui puudutate kumbagi objekti. Ebaõnnestumise etapp ütleb teile seda, kui loete järjekorras.

Kaks mandaati, kaks väidet

Serverisertifikaat seob nime võtmega ja klient kontrollib seda sidet oma usaldushoidla vastu. Kliendisertifikaat seob identiteedi võtmega ja lüüs kontrollib, kas esitatud sertifikaat ahelduvad millegi külge, mida ta usaldab. EAP kannab autentimisvahetust, mille sisu sõltub valitud meetodist. Need on kolm struktuuri erineva eluea, erinevate omanike ja erinevate tõrkeviisidega.

Privaatvõtme avav paroolifraas ei ole kontoparool, isegi kui mõlemad viibad ilmuvad sekundite jooksul üksteise järel. Üks on seadme võtmehoidlas kohalik ja teise valideerib lüüsi taga olev autentimisserver.

EAP on konteiner, mitte meetod

EAP on raamistik: lüüs ja klient peavad läbirääkimisi meetodi üle ning meetod otsustab, kas kaasatud on parool, token, tunnelitud sisemine vahetus või sertifikaat, nagu selgitab strongSwani IKEv2 dokumentatsioon. Seetõttu ei sarnane EAP-TLS kliendi poolel sugugi EAP-MSCHAPv2-ga, kuigi mõlemad kuvatakse menüüs EAP-na. Profiil, mis nimetab ainult EAP-d, ei ole teile öelnud, mida kasutajalt küsitakse.

Lugege meetodit ja taustsüsteemi koos. Taustsüsteem määrab konto vormingu, lukustamise käitumise ja selle, mida parooli lähtestamine tegelikult muudab, ja miski sellest ei ole kliendiprofiilis nähtav.

Segakasutus on tavaline

Serverisertifikaat pluss EAP kasutaja jaoks on vorm, mille enamik kaugjuurdepääsu lüüse kasutusele võtab, sest see annab kliendile kontrollitava lõpp-punkti ja operaatorile iga kasutaja identiteedi keskse kontohoidlas. Olemas on ka kliendisertifikaatidega juurutusi, tavaliselt seal, kus seadme identiteet loeb rohkem kui parool. Mõlemad on õiguspärased ja viga on eeldada, et see, mida nägite eelmisel nädalal, on see, mis on teie ees.

Küsige operaatorilt dokumenteeritud meetodit ja konto vormingut, selle asemel et tuletada neid kliendi väljanimedest.

Otsustamine ebaõnnestumise etapi järgi

Järjestage tähelepanekud. Usaldusviga enne mis tahes kasutajaviipa on serverisertifikaadi probleem ja ükski parool ei paranda seda. Viip, millele järgneb tagasilükkamine, on kasutaja autentimise probleem, kahtlusalusteks EAP meetod ja taustsüsteem. Õnnestunud autentimine, millele järgneb child-SA tõrge, ei ole kumbki neist.

Olulised on veel kaks eristust. Klient, kes keeldub serverisertifikaadist, teatab tavaliselt nime mittevastavusest või tundmatust asutusest, mis on usaldushoidla küsimus. Lüüs, mis keeldub kasutajast, logib sageli EAP meetodi ja põhjuse kategooria, mis on konto või poliitika küsimus.

Kahe mudeli käitamine

Sertifikaatide puhul on töö väljastamine, uuendamine, tühistamine ja kadunud seadmete eemaldamine ning see toimub teie juhitava ajakava järgi. EAP puhul on töö konto elutsükkel, meetodite tugi igal kliendiplatvormil ja mis tahes teine tegur, mida taustsüsteem nõuab. Kumbki mudel ei ole abstraktselt odavam; need koormavad erinevaid meeskondi. Kirjutage üles, millist teie juurutus tegelikult kasutab, sest tugiskriptid erinevad rohkem kui konfiguratsioon.

Hoidke neid oma märkmetes eraldi. Sertifikaadi aegumine tekitab tõrke kindlal kuupäeval, konto lukustamine tekitab tõrke pärast parooli muutmist ja meetodi mittevastavus tekitab tõrke ainult ühel platvormil.

Pärast identiteedi aktsepteerimist

Autentimine on üks värav. Alam-ohutusassotsiatsioon, liiklusvalijad, DNS ja rakenduse enda õigused on hilisemad väravad, millest igaüks ebaõnnestub omadel tingimustel. Aktsepteeritud identiteet, mis ei jõua kuhugi, ei ole autentimise probleem.

Kirjutage üles meetod, kasutatud konto või sertifikaat ja etapp, mis ebaõnnestus. See märge muudab järgmise juhtumi otsimiseks, mitte eksperimendiks.