Miks RADIUS näeb IP-aadressi VPN-i kasutajanime asemel

strongSwan saab panna IKE-identiteedi RADIUS User-Name'i enne mis tahes EAP-vahetust. Otsustage, kes konto identiteeti küsib, ja seejärel korreleerige üks katse.

Windowsi IKEv2-klient loob ühenduse ja RADIUS-i päring saabub aadressiga seal, kus peaks olema konto nimi. Miski pole veel ebaõnnestunud, ja just see on segane: lüüs teatab identiteedi, mille klient IKE-kihis esitas. Kasutajanimi, mida teie backend soovib, võib tulla eraldi EAP-vahetusest, mida pole veel toimunud. Otsustage, kes seda küsib, enne kui kontot muudate.

Kaks identiteeti rändavad ühes ühenduses

Ühes ühenduses võib esineda kaks nime. IKE-identiteet tuvastab partneri tunnelipüstituse ajal ja eap-radius pistikprogramm kopeerib selle algul RADIUS User-Name'i. EAP-identiteet on erinev väärtus, mida kasutatakse kasutaja autentimiseks, ja seda ei pruugita kunagi saata, kui keegi seda ei küsi.

Seetõttu võib RADIUS-i logi näidata aadressi, kuigi konto on olemas ja parool on õige. Backendilt küsitakse vale kihi kohta. RADIUS-i atribuut on ainult valitud nime transport.

Paluge lüüsil EAP-identiteeti küsida

Üks toetatud lahendus laseb lüüsil EAP-identiteeti küsida enne autentimise üleandmist RADIUS-ile. Ühenduse kaugautentimise jaotises seadke meetodiks eap-radius ja küsige EAP-identiteeti selgesõnaliselt. Allolev fragment kuulub olemasoleva ühendusploki sisse, mitte eraldi faili. Kinnitage ühendus ja konfiguratsiooni backend, enne kui kopeerite süntaksi teisest juurutusest.

remote {
    auth = eap-radius
    eap_id = %any
}

Sellega saab backend IKE-aadressi asemel identiteedi, mille klient EAP-vahetuses esitab. Muu ühenduse juures ei muutu.

Või laske RADIUS-il EAP-vahetust alustada

Teine lahendus jätab esimese käigu RADIUS-i poolele. Pistikprogramm saab saata EAP-Starti indikatsiooni, selle asemel et oodata esialgset identiteedivastust, mis laseb serveril vahetust juhtida. See on pistikprogrammi tasandi konfiguratsioon, seega mõjutab see iga ühendust, mis seda kasutab.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Valige RADIUS-i operaatoriga üks lahendus, selle asemel et lubada mõlemad ja loota. Need kirjeldavad erinevaid töövooge ja server, kes ootab alustamist, ei pruugi hakkama saada lüüsiga, mis vestlust alustab. Pistikprogrammi dokumentatsioon kirjeldab mõlemat, sealhulgas seda, millist identiteeti iga samm kannab.

Jälgige ühte katset mõlemas logis

Korreleerige üks katse mõlemas logis. Jälgige IKE-identiteeti, siis seda, kas toimub EAP-Identity vahetus, ja siis seda, millise nime autentimissamm saab. Backend, mis lükkab aadressi tagasi enne EAP-vahetust, võib protsessi peatada, enne kui teie kavatsetud identiteet üldse nähtavale tuleb.

journalctl -u strongswan -f

Hoidke täpset kasutajanime vormingut, mida identiteedisüsteem ootab, koos domeeni eesliidesega. Ärge kunagi mõelge kontot välja aadressikujulisest väärtusest ja ärge kunagi lülitage autentimist välja poliitikareegli täitmiseks. EAP-identiteet on väidetud nimi ja meetod peab selle ikkagi tõestama. Kirjutage saadud nimi testikirjesse, et järgmine katse algaks teadaolevast olekust.

Kui parandatud voog jõuab õigesse kontosse ja lükatakse ikkagi tagasi, on järgmine tõend EAP-meetod ja backendi poliitika, mitte identiteet. Parooli lähtestamise kordamine ei saa parandada väärtust, mis valiti varasemal protokollikihil.

Seotud artiklid