eapol_test VPN-i kaudu: kas RADIUS-vahetus vajab 2. kihti?

eapol_test käivitab peeri ja RADIUS-kliendi ühes protsessis, seega marsruuditud VPN kannab UDP 1812. Kontrollige kompileeritud meetodite loendit ja seejärel testige tegelikku juurdepääsu eraldi.

Küsige labori kommutaatori porti, et saaksite käivitada eapol_test — ja tõenäoliselt olete tööriista valesti mõistnud. Peer ja RADIUS-kliient elavad mõlemad selles ühes binaarfailis, seega ainus vestlus, mis masinast lahkub, on RADIUS-vahetus ise. Marsruuditud tunnel testhosti ja autentimisserveri vahel on kogu võrgunõue. Füüsiline 802.1X tee on teine asi, mida võib-olla veel testida tuleb, ja see ei ole see.

Miks nimi paneb inimesi kommutaatori porti otsima

EAPOL on kaadri vorming, mida supplicant ja kommutaator LAN-is kasutavad, ja tööriist laenab nime, sest see kasvas välja sellest maailmast. Tarnitakse testprogramm, mis kannab peeri olekumasinat ja RADIUS-kliienti ühes protsessis, seega 802.1X vestluse kaks poolt ei kohtu kunagi juhtme kaudu. Nimi on ajalugu, mitte topoloogianõue.

Inimesed küsivad endiselt porti, sest programm toetub autentija käitumisele, ja see kõlab nagu riistvara. Selle liim reprodutseerib autentija olekumasinat, seega test lõpeb ilma ühegi juurdepääsupunktita ruumis; kompileeritud binaar seob wpa_supplicanti EAP peeri hostapd RADIUS-kliendiga. Kommutaatori eemaldamine eemaldab EAPOL-hüppe, mitte autentimisloogika. Alles jääb klient-server vahetus kahe IP-host vahel.

Jälgige üht RADIUS-vahetust hüppelt hüppele

Jälgige üht katset ja tee on lühike. Peer eapol_test sees toodab EAP-Response'i teie seadistatud meetodi jaoks, ja sama protsessi RADIUS-klient paneb selle Access-Request'i, kandes kasulikku koormust EAP-Message atribuutides Message-Authenticatori kõrval. See datagramm on adresseeritud serverile UDP-pordil 1812 ja lahkub hostist nagu iga teine IP-pakett, ja siin tuleb mängu tunnel. Server hindab seda oma poliitika ja meetodimoodulite järgi ning vastab seejärel Access-Challenge, Access-Accept või Access-Rejectiga.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binaar võtab serveri aadressi, pordi ja jagatud saladuse käsurealt ning meetodi ja volitused wpa_supplicant-stiilis konfiguratsiooniplokist. Miski selles kutses ei sõltu 2. kihi naabrusest: -a on kättesaadav marsruutimisega ja piisab VPN-ist, mis seda marsruudib. Kui tunnel datagrammi kaotab, ebaõnnestub test täpselt nagu kättesaamatu serveri vastu lapikul LAN-il.

Binaar ja serveri poliitika on erinevad loendid

Kaks sõltumatut loendit otsustavad, kas meetod saab läbi, ja nende segamine maksab päeva. Esimene loend on binaari sisse kompileeritud: build-konfiguratsioon valib, millised EAP-meetodid olemas on, seega ilma meetodita build ei saa seda läbi rääkida, ükskõik mida server lubab. Teine loend elab serveril, kus poliitika ütleb, milliseid toetatud meetoditest see kliendiklass tohib kasutada. Läbisaamiseks on vaja lõikumist ja kumbki loend ei saa täita lünka teises.

Kontrollige seda esimest loendit enne, kui serverit süüdistate. Otsige meetodi nime paigaldatud binaarist või lugege build-konfiguratsiooni, kust see pärineb. Kui meetod puudub, ehitage uuesti, selle asemel et RADIUS-poliitikat muuta; kui see on olemas ja vahetus ikka ebaõnnestub, on probleem liikunud volituste, poliitika või sertifikaadi usalduse juurde.

Mida läbisaamine ikka veel ei kata

Edukas käivitus tõestab üht meetodit, ühe volituste komplekti jaoks, ühe RADIUS-poliitika vastu, ühel võrguteel. See ei harjuta juurdepääsupunkti raadiot, kommutaatori EAPOL-käsitlust, autentimisele järgnevat VLAN-i määramist ega seda, kuidas VPN-kontsentraator samasse serverisse integreerub. Need komponendid ei olnud kunagi testitud teel. Käsitlege tulemust piiratud tõendina ja öelge, millist piiri see katab, kui sellest teatate.

Kasulik kirje on see, mida server ja protsess kumbki täheldasid: milline meetod läbi räägiti, kus vahetus peatus ja mida server logis. Hoidke jagatud saladused ja privaatvõtmed sellest kirjest väljas.

Kontroll-loend enne tulemuse tsiteerimist

Enne kui keegi käsitleb väljundit kinnitusena, kinnitage neli asja. Build sisaldab testitavat meetodit, RADIUS-i lõpp-punkt ja jagatud saladus kuuluvad testitavale keskkonnale, serveri poliitika lubab seda testidentiteeti ja võrgutee on sama klassi tee, mida tootmiskliendid kasutavad. Seejärel nimetage, mida käivitus ei puudutanud: juurdepääsupunkt, kommutaator, VLAN ja kontsentraatori integratsioon vajavad igaüks oma rida testiplaanis.

Kaks testi kahe omanikuga löövad ühe mitmetimõistetava kinnituse. eapol_test käivitus vastab meetodi-ja-serveri küsimusele; juurdepääsuteenus vastab jõustamise küsimusele.

Seotud artiklid