EAP VPN atebidearen bidez: nork amaitzen du metodoa

Laguntza-txartelek huts egindako VPN saio-hasiera bat eta metodo sendoa eskatzen duen RADIUS politika bat arazo bera balira bezala deskribatzen dituzte, eta ez dira. Atebideak kredentzialak onartu eta birbidaltzen ditu, edo bezeroaren eta autentifikazio-zerbitzariaren arteko EAP elkarrizketa eramaten du. Bi horietako zein gertatzen den erabakitzen du zerbitzari aldeko aldaketa batek zerbait konpon dezakeen. Irakurri trukea zerbitzari-taldea editatu aurretik.

Erregistroan berdinak diruditen bi autentifikazio-bide

Lehen bidean VPN atebideak erabiltzaile-izena eta pasahitza biltzen ditu eta RADIUS Access-Request bat bidaltzen du pasahitz-atributu batekin. Autentifikazio-zerbitzariak bere biltegirekin alderatzen du eta onartu edo ukatu erantzuten du. Bezeroak ez du inoiz EAP metodorik exekutatzen, inork ez ziolako eskatu.

Bigarren bidean bezeroak eta autentifikazio-zerbitzariak EAP metodoa muturretik muturrera exekutatzen dute, eta atebideak EAP-Message atributuak birbidaltzen ditu bien artean. Atebideak kanpoko RADIUS elkarrizketa amaitzen jarraitzen du, baina metodoaren logika bi muturretan bizi da.

Bi bideek autentifikazioak huts egin duela dioen lerro bat sortzen dute erregistroan. Bakarrik bigarrena koka daiteke zerbitzariak zein EAP metodo nahiago duen arabera, eta bakarrik lehena atebideak pasahitza nola irakurtzen duen arabera. Trukagarritzat hartzea da taldeek egun bat zerbitzari-taldeak aldatzen ematen duten modua inoiz PEAP hitz egingo ez zuen bezero batentzat.

Non exekutatzen da metodoa benetan

RFC 3579 arauak pasabidearen antolaketa definitzen du: NASak EAP paketeak RADIUS atributuetan eramaten ditu eta ez du EAP mota bakoitzerako berariazko koderik behar. Horregatik atebide batek PEAP eta EAP-TLS onar ditzake, bietako bat ere inplementatu gabe.

Pasahitza bidaltzen duen atebide batek ez du PEAP eramaten, atzealdeko sistemak beste bezero baten PEAP onartuko lukeen arren. PEAP zerbitzariaren politikan gaitzeak ez dio metodorik gehitzen inoiz bat eskaini ez zuen bezeroari.

PPP autentifikazio-ezarpenak PPP zerbitzuarenak dira. Ez dituzte isilpean birkonfiguratzen AAA zerbitzari bera erabiltzen duen IPsec edo XAuth bide zahar bakoitza, beraz sarbide mota baterako funtzionatzen duen aldaketak bestea ukitu gabe utz dezake.

Zer onartu behar du NASak

Pasabideak eskakizuna metodo-kodetutik garraiatzailearen euskarrira eramaten du. Atebideak EAP bere VPN protokoloaren bidez eraman behar du, eta gainean duen RADIUS bezeroak tamaina horietako EAP-Message atributuak bidali eta jaso behar ditu.

IKEv2ren kasuan EAP autentifikazio-fluxu definitu baten parte da, eta zerbitzariaren identitate- eta konfiantza-egiaztapenak fluxu horretatik datoz. 802.1X inplementazio batetik mailegatutako PEAP etiketa ez da automatikoki transferitzen, inguruko negoziazioa desberdina delako.

Bezeroaren aldeak ere baditu baldintzak. Metodoa konfiguratuta izan behar du, metodoak aurkezten duen zerbitzari-ziurtagirian fidatu behar du eta metodoak erabil ditzakeen kredentzialak izan behar ditu. Ziurtagirian oinarritutako metodoak bezero-ziurtagiririk gabe huts egiten du RADIUSek ezer ikusi aurretik, eta hori hornikuntza-arazoa da, ez zerbitzari-politikarena.

Irakurri saiakera bat politika aldatu aurretik

Hartu onartutako saiakera bakarra atebidean eta autentifikazio-zerbitzarian. Bilatu EAP-Message atributuak RADIUS eskaeran. Haien presentziak pasabide-bidea erabiltzen ari dela esaten du; haien absentziak kredentzial-truke batera eramaten du.

Linux atebide batean RADIUS atakan egindako kapturak kablean zein atributu dauden erakusten du:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Ondoren alderatu ukapen-puntua. Atebidean RADIUS paketuren bat baino lehen huts egiteak bezeroa eta atebidea metodoan ados ez zeudela esan nahi du. EAP atributuak dituen RADIUS ukoak muturrek metodoa exekutatu zutela eta batek emaitza ukatu zuela esan nahi du.

Planifikatu migrazioa muturretik muturrerako aldaketa bakarra bezala

Metodoa aldatzeak bezeroaren konfigurazioa, atebidearen garraiatzaile-euskarria, zerbitzariaren metodo-politika eta kredentzial-biltegia batera aldatzea esan nahi du. Egin horrela eta mantendu bide funtzional bat berria frogatuta egon arte. Zerbitzari aldeko aldaketa soila susmoa da, eta normalean funtzionatzen zuten bezeroak hausten ditu. Prestatu aldaketa probako identitate batean taldea ukitu aurretik.

Idatzi funtzionatzen duen konbinazioa: VPN protokoloa, EAP garraiatzailea, parekidearen metodoa, zerbitzariaren metodoa, kredentzial mota eta zerbitzariaren identitate-egiaztapena.

Mantendu administratzaile saio-hasierako AAA VPN autentifikaziotik bereizita, zereginak biak espresuki barne hartzen ez baditu. Urruneko sarbiderako pentsatutako aldaketak ez luke kendu behar hura amaitzen duen gailua kudeatzeko gaitasuna.