eapol_test روی VPN: آیا تبادل RADIUS به لایه 2 نیاز دارد؟

اگر برای اجرای eapol_test یک پورت سوئیچ آزمایشگاهی درخواست کنید، احتمالاً ابزار را اشتباه خوانده‌اید. همتا و کارخواه RADIUS هر دو درون همان یک باینری زندگی می‌کنند، پس تنها گفت‌وگویی که ماشین را ترک می‌کند خودِ تبادل RADIUS است. یک تونل مسیریابی‌شده میان میزبان آزمون و کارساز احراز هویت تمام نیاز شبکه است. مسیر فیزیکی 802.1X چیز دیگری است که ممکن است هنوز لازم باشد آزمون کنید، و این یکی نیست.

چرا نام ابزار مردم را به جست‌وجوی پورت سوئیچ می‌فرستد

EAPOL قالب قابی است که یک supplicant و یک سوئیچ در LAN استفاده می‌کنند، و ابزار نام را وام گرفته چون از همان جهان رشد کرده است. آنچه عرضه می‌شود برنامه‌ای آزمونی است که ماشین حالت همتا و کارخواه RADIUS را در یک فرایند حمل می‌کند، پس دو نیمهٔ یک گفت‌وگوی 802.1X هرگز روی سیم به هم نمی‌رسند. نام، تاریخ است نه الزام توپولوژی.

مردم هنوز پورت را می‌خواهند چون برنامه بر رفتار authenticator تکیه دارد، و این شبیه سخت‌افزار به نظر می‌رسد. چسب آن ماشین حالت authenticator را بازتولید می‌کند، پس آزمون بدون هیچ نقطه دسترسی در اتاق کامل می‌شود؛ باینری کامپایل‌شده همتای EAP در wpa_supplicant را به کارخواه RADIUS در hostapd پیوند می‌دهد. حذف سوئیچ پرش EAPOL را حذف می‌کند، نه منطق احراز هویت. آنچه می‌ماند تبادل کارخواه-کارساز میان دو میزبان IP است.

یک تبادل RADIUS را گام‌به‌گام دنبال کنید

یک تلاش را دنبال کنید و مسیر کوتاه است. همتای درون eapol_test برای متدی که پیکربندی کرده‌اید یک EAP-Response می‌سازد، و کارخواه RADIUS در همان فرایند آن را در یک Access-Request می‌گذارد و بار را در ویژگی‌های EAP-Message کنار یک Message-Authenticator حمل می‌کند. آن دیتاگرام به کارساز روی پورت UDP 1812 نشانه می‌رود و مانند هر بسته IP دیگر میزبان را ترک می‌کند، و اینجاست که تونل وارد می‌شود. کارساز آن را بر پایه سیاست و ماژول‌های متد خود ارزیابی می‌کند و سپس با Access-Challenge، Access-Accept یا Access-Reject پاسخ می‌دهد.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

باینری نشانی کارساز، پورت و راز مشترک را از خط فرمان می‌گیرد و متد و اعتبارنامه‌ها را از یک بلوک پیکربندی به سبک wpa_supplicant. هیچ چیز در آن فراخوانی به همسایگی لایه 2 وابسته نیست: -a از راه مسیریابی به دست می‌آید و VPN‌ای که آن را مسیریابی کند کافی است. اگر تونل دیتاگرام را بیندازد، آزمون دقیقاً مانند برابر کارسازی دسترس‌ناپذیر در یک LAN تخت شکست می‌خورد.

باینری و سیاست کارساز دو فهرست جداگانه‌اند

دو فهرست مستقل تعیین می‌کنند که یک متد می‌تواند بگذرد یا نه، و اشتباه گرفتن آن‌ها یک روز را تلف می‌کند. فهرست نخست درون باینری کامپایل شده است: پیکربندی ساخت تعیین می‌کند کدام متدهای EAP وجود دارند، پس ساختاری بدون یک متد نمی‌تواند بر سر آن چانه بزند هر چه کارساز اجازه دهد. فهرست دوم روی کارساز زندگی می‌کند، جایی که سیاست می‌گوید این کلاس کارخواه کدام یک از متدهای پشتیبانی‌شده را می‌تواند به کار ببرد. گذر به اشتراک نیاز دارد و هیچ فهرستی نمی‌تواند شکاف دیگری را پر کند.

پیش از سرزنش کارساز آن فهرست نخست را بررسی کنید. نام متد را در باینری نصب‌شده جست‌وجو کنید یا پیکربندی ساختی را که از آن آمده بخوانید. اگر متد غایب است، به‌جای ویرایش سیاست RADIUS دوباره بسازید؛ اگر حاضر است و تبادل هنوز شکست می‌خورد، مشکل به اعتبارنامه‌ها، سیاست یا اعتماد گواهی منتقل شده است.

آنچه یک گذر هنوز پوشش نمی‌دهد

یک اجرای موفق یک متد را اثبات می‌کند، برای یک مجموعه اعتبارنامه، برابر یک سیاست RADIUS، روی یک مسیر شبکه. رادیوی نقطه دسترسی، پردازش EAPOL یک سوئیچ، تخصیص VLAN که پس از احراز هویت می‌آید، و شیوه‌ای که یک متمرکزکننده VPN با همان کارساز یکپارچه می‌شود را تمرین نمی‌کند. آن اجزا هرگز روی مسیر آزمون‌شده نبودند. نتیجه را شواهد محدود بدانید و هنگام گزارش بگویید کدام مرز را پوشش می‌دهد.

ثبت سودمند آن است که کارساز و فرایند هر یک مشاهده کردند: کدام متد مذاکره شد، تبادل کجا ایستاد، و کارساز چه چیزی ثبت کرد. رازهای مشترک و کلیدهای خصوصی را بیرون از آن ثبت نگه دارید.

سیاهه بازبینی پیش از نقل نتیجه

پیش از آنکه کسی خروجی را تأییدیه بداند، چهار چیز را تأیید کنید. ساخت شامل متد آزمون است، نقطه پایانی RADIUS و راز مشترک به محیط آزمون تعلق دارند، سیاست کارساز این هویت آزمون را می‌پذیرد، و مسیر شبکه از همان کلاس مسیری است که کارخواهان تولیدی به کار می‌برند. سپس نام ببرید چه چیزی را اجرا لمس نکرد: نقطه دسترسی، سوئیچ، VLAN و یکپارچگی متمرکزکننده هر یک خط خود را در برنامه آزمون لازم دارند.

دو آزمون با دو مالک از یک تأییدیه مبهم بهتر است. اجرای eapol_test به پرسش متد و کارساز پاسخ می‌دهد؛ سرویس دسترسی به پرسش اجرا پاسخ می‌دهد.