Zergatik ikusten duen RADIUSek IP helbide bat VPN erabiltzaile-izenaren ordez

strongSwanek IKE identitatea RADIUS User-Name eremuan jar dezake EAP trukaketa bat baino lehen. Erabaki nor den kontuaren identitatea eskatzen duena, eta gero erlazionatu saio bakarra.

Windows IKEv2 bezero bat konektatzen da, eta RADIUS eskaera helbide batekin iristen da kontuaren izena egon beharko lukeen lekuan. Oraindik ez da ezer huts egin, eta horixe da nahasgarria: atebideak bezeroak IKE geruzan aurkeztutako identitatea jakinarazten du. Zure backendak nahi duen erabiltzaile-izena oraindik gertatu ez den EAP trukaketa bereizi batetik etor daiteke. Erabaki nork eskatzen duen kontua aldatu aurretik.

Bi identitate konexio bakarrean bidaiatzen dute

Bi izen ager daitezke konexio bakarrean. IKE identitateak parekidea identifikatzen du tunelaren konfigurazioan, eta eap-radius pluginak hasieran RADIUS User-Name eremura kopiatzen du. EAP identitatea beste balio bat da, erabiltzailea autentifikatzeko erabiltzen dena, eta agian ez da inoiz bidaliko inork eskatzen ez badu.

Horregatik erakus dezake RADIUS erregistroak helbide bat kontua existitzen den eta pasahitza zuzena den bitartean. Backendari geruza okerraz galdetzen zaio. RADIUS atributua aukeratutako izenaren garraioa baino ez da.

Eskatu atebideari EAP identitatea eskatzea

Onartutako antolamendu batek atebideari EAP identitatea eskatzen dio autentifikazioa RADIUSi eman aurretik. Konexioaren urrutiko autentifikazio atalean, jarri metodoa eap-radius gisa eta eskatu EAP identitatea berariaz. Beheko zatiak lehendik dagoen konexio-bloke baten barruan du lekua, ez bere fitxategi propioan. Egiaztatu konexioa eta konfigurazioaren backenda sintaxia beste ezarpen batetik kopiatu aurretik.

remote {
    auth = eap-radius
    eap_id = %any
}

Horrekin, backendak bezeroak EAP trukaketan ematen duen identitatea jasotzen du IKE helbidearen ordez. Konexioan beste ezer ez da aldatzen.

Edo utzi RADIUSi EAP trukaketa hasteko

Beste antolamenduak lehen mugimendua RADIUS aldean jartzen du. Pluginak EAP-Start adierazpena bidal dezake hasierako identitate-erantzunaren zain egon beharrean, eta horrek zerbitzariari trukaketa gidatzeko aukera ematen dio. Plugin mailako konfigurazioa da, beraz plugina erabiltzen duen konexio guztiei eragiten die.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Aukeratu antolamendu bat RADIUS operadorearekin, biak gaitu eta espero ordez. Lan-fluxu desberdinak deskribatzen dituzte, eta hasteko espero duen zerbitzari batek ez du nahitaez elkarrizketa hasten duen atebide bat kudeatuko. Pluginaren dokumentazioak biak deskribatzen ditu, urrats bakoitzak zein identitate daraman barne.

Jarraitu saio bat bi erregistroetan

Erlazionatu saio bakarra bi erregistroetan. Begiratu IKE identitatea, gero EAP-Identity trukaketa gertatzen den, eta gero autentifikazio urratsak zein izen jasotzen duen. EAP trukaketa baino lehen helbidea baztertzen duen backend batek prozesua geldi dezake zure asmo identitatea inoiz ikusi aurretik.

journalctl -u strongswan -f

Mantendu identitate sistemak espero duen erabiltzaile-izen formatu zehatza, domeinu aurrizkia barne. Inoiz ez asmatu kontu bat helbide itxurako balio batetik, eta inoiz ez itzali autentifikazioa politika arau bat betetzeko. EAP identitatea aldarrikatutako izen bat da, eta metodoak oraindik frogatu behar du. Idatzi lortutako izena proba-erregistroan hurrengo saioa egoera ezagun batetik has dadin.

Zuzendutako fluxuak kontu egokira iristen bada eta oraindik baztertzen bada, hurrengo ebidentzia EAP metodoa eta backendaren politika da, ez identitatea. Pasahitzen berrezarpena errepikatzeak ezin du konpondu protokolo geruza goiztiarrago batean aukeratutako balio bat.

Erlazionatutako artikuluak