eapol_test VPN baten gainean: behar al du RADIUS trukeak 2. geruza?

Eskatu laborategiko kommutadore-portu bat eapol_test exekutatu ahal izateko — eta ziurrenik oker ulertu duzu tresna. Peer-a eta RADIUS bezeroa biak fitxategi bitar bakarrean bizi dira, beraz makinatik irteten den elkarrizketa bakarra RADIUS trukea bera da. Proba-ostalariaren eta autentifikazio-zerbitzariaren arteko tunel bideratuak dira sare-eskakizun osoa. 802.1X bide fisikoa probatu behar duzun beste zerbait da, eta ez da hau.

Zergatik eramaten duen izenak jendea kommutadore-portu baten bila

EAPOL supplicant batek eta kommutadore batek LAN batean erabiltzen duten marko-formatua da, eta tresnak izena mailegatu zuen mundu hartatik hazi zelako. Bidaltzen dena prozesu bakarrean peer-aren egoera-makina eta RADIUS bezeroa daramatzan proba-programa bat da, beraz 802.1X elkarrizketa baten bi erdiek ez dute inoiz kable baten gainean topo egiten. Izena historia da, ez topologia-eskakizuna.

Jendeak oraindik portua eskatzen du programak autentifikatzailearen portaeran oinarritzen delako, eta hori hardwarea dirudi. Bere itsasgarriak autentifikatzailearen egoera-makina erreproduzitzen du, beraz proba bat gelan sarbide-punturik gabe osatzen da; konpilatutako bitarrak wpa_supplicant-en EAP peer-a hostapd-ren RADIUS bezeroarekin lotzen du. Kommutadorea kentzeak EAPOL jauzia kentzen du, ez autentifikazio-logika. Geratzen dena bi IP ostalariren arteko bezero-zerbitzari trukea da.

Jarraitu RADIUS truke bat jauziz jauzi

Jarraitu saiakera bakarra eta bidea laburra da. eapol_test barruko peer-ak konfiguratu duzun metodorako EAP-Response bat sortzen du, eta prozesu bereko RADIUS bezeroak Access-Request batean jartzen du, karga EAP-Message atributuetan eramanez Message-Authenticator baten ondoan. Datagrama hori UDP 1812 portuko zerbitzariari zuzentzen zaio eta ostalaria edozein IP pakete bezala uzten du, eta hor sartzen da tunela. Zerbitzariak bere politika eta metodo-moduluen arabera ebaluatzen du, eta gero Access-Challenge, Access-Accept edo Access-Reject-ekin erantzuten du.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Bitarrak zerbitzariaren helbidea, portua eta sekretu partekatua komando-lerrotik hartzen ditu, eta metodoa eta kredentzialak wpa_supplicant estiloko konfigurazio-bloke batetik. Deialdi horretan ezerk ez du 2. geruzako albokotasunaren mende: -a bideratzearen bidez iristen da, eta hura bideratzen duen VPN bat nahikoa da. Tunelak datagrama botatzen badu, probak huts egiten du LAN lau batean iristezina den zerbitzari baten aurka bezalaxe.

Bitarra eta zerbitzariaren politika zerrenda desberdinak dira

Bi zerrenda independentek erabakitzen dute metodo bat pasa daitekeen, eta haiek nahasteak egun bat galtzen du. Lehen zerrenda bitarrean konpilatuta dago: build konfigurazioak aukeratzen du zein EAP metodo dauden, beraz metodorik gabeko build batek ezin du hura negoziatu zerbitzariak zer baimentzen duen ere. Bigarren zerrenda zerbitzarian bizi da, non politikak esaten duen zein metodo onartuetatik erabil dezakeen bezero-klase honek. Pasatzeko ebakidura behar da, eta inongo zerrendak ezin du bestearen hutsunea bete.

Egiaztatu lehen zerrenda hori zerbitzaria errudun egin aurretik. Bilatu metodoaren izena instalatutako bitarrean, edo irakurri nondik datorren build konfigurazioa. Metodoa ez badago, berreraiki RADIUS politika editatu beharrean; badago eta trukeak huts egiten badu oraindik, arazoa kredentzialetara, politikara edo ziurtagiriaren konfiantzara mugitu da.

Pasatze batek oraindik estaltzen ez duena

Exekuzio arrakastatsu batek metodo bat frogatzen du, kredentzial-multzo batentzat, RADIUS politika baten aurka, sare-bide batetik. Ez du sarbide-puntuaren irratia, kommutadore baten EAPOL tratamendua, autentifikazioaren ondorengo VLAN esleipena, ezta VPN kontzentratzaile bat zerbitzari berarekin nola integratzen den ere probatzen. Osagai horiek ez ziren inoiz probatutako bidean egon. Hartu emaitza froga mugatu gisa, eta esan zein muga estaltzen duen hura jakinaraztean.

Erregistro erabilgarria zerbitzariak eta prozesuak bakoitzak zer ikusi zuen da: zein metodo negoziatu zen, non gelditu zen trukea, eta zer erregistratu zuen zerbitzariak. Mantendu sekretu partekatuak eta gako pribatuak erregistro horretatik kanpo.

Egiaztapen-zerrenda emaitza aipatu aurretik

Norbaitek irteera onespen gisa hartu aurretik, egiaztatu lau gauza. Build-ak probatutako metodoa dakar, RADIUS amaierako puntua eta sekretu partekatua probatzen ari den ingurunearenak dira, zerbitzariaren politikak proba-nortasun hau onartzen du, eta sare-bidea produkzio-bezeroek erabiltzen duten klase berekoa da. Gero izenda itzazu exekuzioak ukitu ez zuena: sarbide-puntuak, kommutadoreak, VLAN-ak eta kontzentratzailearen integrazioak bakoitzak bere lerroa behar du proba-planean.

Bi jabe dituzten bi probek onespen anbiguo bat baino gehiago balio dute. eapol_test exekuzioak metodoaren eta zerbitzariaren galderari erantzuten dio; sarbide-zerbitzuak betearazpenaren galderari erantzuten dio.