EAP läbi VPN-lüüsi: kes meetodi lõpetab

Klienditoe piletid kirjeldavad ebaõnnestunud VPN-sisselogimist ja RADIUS-poliitikat, mis nõuab tugevamat meetodit, nagu oleks tegu sama probleemiga, aga ei ole. Lüüs kas võtab mandaadi vastu ja edastab selle, või kannab EAP-kõnelust kliendi ja autentimisserveri vahel. Kumb neist juhtub, otsustab, kas serveripoolne muudatus saab üldse midagi parandada. Lugege vahetust enne serverigrupi muutmist.

Kaks autentimisteed, mis logis ühesugused välja näevad

Esimesel teel kogub VPN-lüüs kasutajanime ja parooli ning saadab RADIUS Access-Request parooli atribuudiga. Autentimisserver võrdleb seda oma mandaadihoidlaga ja vastab kas vastuvõtmise või keeldumisega. Klient ei käivita kunagi EAP-meetodit, sest miski ei palunud seda.

Teisel teel käivitavad klient ja autentimisserver EAP-meetodi algusest lõpuni ning lüüs edastab nende vahel EAP-Message atribuute. Lüüs lõpetab endiselt välimise RADIUS-kõneluse, kuid meetodi loogika elab kahes otspunktis.

Mõlemad teed tekitavad logisse rea, mis ütleb, et autentimine ebaõnnestus. Ainult teine saab sõltuda sellest, millist EAP-meetodit server eelistab, ja ainult esimene sellest, kuidas lüüs parooli loeb. Nende käsitlemine vahetatavatena on põhjus, miks meeskonnad kulutavad päeva serverigruppide muutmisele kliendi jaoks, kes ei kavatsenudki PEAP-i rääkida.

Kus meetod tegelikult töötab

RFC 3579 määratleb läbilaske korralduse: NAS kannab EAP-pakette RADIUS-atribuutides ja ei vaja iga EAP-tüübi jaoks meetodipõhist koodi. Seetõttu saab lüüs toetada PEAP-i ja EAP-TLS-i, ilma et kumbagi rakendaks.

Parooli esitav lüüs ei kanna PEAP-i, isegi kui taustsüsteem võtaks PEAP-i vastu teiselt kliendilt. PEAP-i lubamine serveripoliitikas ei lisa meetodit kliendile, kes seda kunagi ei pakkunud.

PPP autentimiseaded kuuluvad PPP-teenusele. Need ei seadista vaikselt ümber iga IPsec- ega vana XAuth-teed, mis kasutab sama AAA-serverit, seega ühe juurdepääsutüübi jaoks toimiv muudatus võib teise puutumata jätta.

Mida peab NAS toetama

Läbilase korral nihkub nõue meetodikoodilt kandja toe juurde. Lüüs peab suutma EAP-i kanda oma VPN-protokolli kaudu ja sellel olev RADIUS-klient peab suutma saata ja vastu võtta asjaomaste suurustega EAP-Message atribuute.

IKEv2 puhul on EAP osa määratletud autentimisvoost ning serveri identiteedi- ja usalduskontrollid tulevad sellest voost. 802.1X kasutusest laenatud PEAP-silt ei kandu automaatselt üle, sest selle ümber käiv läbirääkimine on teistsugune.

Ka kliendi poolel on nõuded. See peab olema meetodi jaoks seadistatud, usaldama serverisertifikaati, mille meetod esitab, ja omama mandaate, mida meetod saab kasutada. Sertifikaadipõhine meetod ilma kliendisertifikaadita ebaõnnestub, enne kui RADIUS midagi näeb, mis on varustamise, mitte serveripoliitika probleem.

Lugege üht katset enne poliitika muutmist

Jäädvustage üks kinnitatud katse lüüsil ja autentimisserveril. Otsige RADIUS-päringust EAP-Message atribuute. Nende olemasolu näitab, et kasutatakse läbilaske teed; nende puudumine viitab mandaadivahetusele.

Linuxi lüüsil näitab RADIUS-pordil tehtud jäädvustus, millised atribuudid juhtmel on:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Seejärel võrrelge keeldumispunkti. Tõrge lüüsil enne ükskõik millist RADIUS-paketti tähendab, et klient ja lüüs ei jõudnud meetodis kokkuleppele. RADIUS-keeldumine EAP-atribuutidega tähendab, et otspunktid käivitasid meetodi ja üks neist keeldus tulemusest.

Planeerige üleminek ühe otsast-otsani muudatusena

Meetodi muutmine tähendab kliendi seadistuse, lüüsi kandja toe, serveri meetodipoliitika ja mandaadihoidla muutmist korraga. Tehke seda selles järjekorras ja hoidke töötavat teed, kuni uus on tõestatud. Ainult serveripoolne muudatus on oletus ja rikub tavaliselt kliendid, mis töötasid. Valmistage muudatus ette ühel testidentiteedil, enne kui grupile lähenete.

Kirjutage üles kombinatsioon, mis töötab: VPN-protokoll, EAP-kandja, partneri meetod, serveri meetod, mandaadi tüüp ja serveri identiteedi kontroll.

Hoidke halduslik AAA-sisselogimine VPN-autentimisest eraldi, kui ülesanne ei hõlma mõlemat selgesõnaliselt. Kaugjuurdepääsuks mõeldud muudatus ei tohiks võtta teilt võimalust hallata seadet, mis selle lõpetab.