EAP VPN-portin kautta: kuka päättää menetelmän

Tukipyynnöt kuvaavat epäonnistuneen VPN-kirjautumisen ja vahvempaa menetelmää vaativan RADIUS-käytännön ikään kuin ne olisivat sama ongelma, eivätkä ne ole. Portti joko vastaanottaa tunnistetiedot ja välittää ne, tai kuljettaa EAP-keskustelua asiakkaan ja todennuspalvelimen välillä. Kumpi tapahtuu, ratkaisee voiko palvelinpuolen muutos korjata mitään. Lue vaihto ennen kuin muokkaat palvelinryhmää.

Kaksi todennuspolkua, jotka näyttävät lokissa samalta

Ensimmäisellä polulla VPN-portti kerää käyttäjänimen ja salasanan ja lähettää RADIUS Access-Requestin salasanamääritteellä. Todennuspalvelin vertaa sitä tietovarastoonsa ja vastaa hyväksynnällä tai hylkäyksellä. Asiakas ei koskaan suorita EAP-menetelmää, koska mikään ei pyytänyt sitä.

Toisella polulla asiakas ja todennuspalvelin suorittavat EAP-menetelmän päästä päähän, ja portti välittää EAP-Message-määritteitä niiden välillä. Portti päättää edelleen ulomman RADIUS-keskustelun, mutta menetelmän logiikka asuu kahdessa päätepisteessä.

Molemmat polut tuottavat lokiin rivin, joka kertoo todennuksen epäonnistuneen. Vain toinen voi riippua siitä, mitä EAP-menetelmää palvelin suosii, ja vain ensimmäinen siitä, miten portti lukee salasanan. Niiden kohteleminen vaihdettavina on syy siihen, miksi tiimit käyttävät päivän palvelinryhmien vaihtamiseen asiakkaalle, joka ei koskaan aikoisi puhua PEAPia.

Missä menetelmä todella toimii

RFC 3579 määrittelee läpivientijärjestelyn: NAS kuljettaa EAP-paketteja RADIUS-määritteissä eikä tarvitse menetelmäkohtaista koodia jokaista EAP-tyyppiä varten. Siksi portti voi tukea PEAPia ja EAP-TLS:ää toteuttamatta kumpaakaan.

Portti, joka lähettää salasanan, ei kuljeta PEAPia, vaikka taustajärjestelmä hyväksyisi PEAPin toiselta asiakkaalta. PEAPin käyttöönotto palvelimen käytännössä ei lisää menetelmää asiakkaalle, joka ei koskaan tarjonnut sellaista.

PPP-todennusasetukset kuuluvat PPP-palvelulle. Ne eivät hiljaa uudelleenmääritä jokaista IPsec- tai vanhaa XAuth-polkua, joka käyttää samaa AAA-palvelinta, joten yhdelle käyttötyypille toimiva muutos voi jättää toisen koskemattomaksi.

Mitä NASin on tuettava

Läpivienti siirtää vaatimuksen menetelmäkoodista kuljettimen tukeen. Portin on kyettävä kuljettamaan EAP VPN-protokollansa yli, ja sen RADIUS-asiakkaan on kyettävä lähettämään ja vastaanottamaan kyseisen kokoisia EAP-Message-määritteitä.

IKEv2:ssa EAP on osa määriteltyä todennusvirtaa, ja palvelimen identiteetti- ja luottamustarkistukset tulevat siitä virrasta. 802.1X-käyttöönotosta lainattu PEAP-tunniste ei siirry automaattisesti, koska sen ympärillä käytävä neuvottelu on erilainen.

Asiakaspuolellakin on vaatimuksia. Sen on oltava määritetty menetelmälle, luotettava menetelmän esittämään palvelinvarmennukseen ja omattava tunnistetiedot, joita menetelmä voi käyttää. Varmennepohjainen menetelmä ilman asiakasvarmennetta epäonnistuu ennen kuin RADIUS näkee mitään, mikä on valmistelun eikä palvelinkäytännön ongelma.

Lue yksi yritys ennen käytännön muuttamista

Tallenna yksi hyväksytty yritys portilla ja todennuspalvelimella. Etsi RADIUS-pyynnöstä EAP-Message-määritteitä. Niiden läsnäolo kertoo, että läpivientipolkua käytetään; puuttuminen viittaa tunnistetietojen vaihtoon.

Linux-portilla RADIUS-portin tallenne näyttää, mitkä määritteet ovat johdossa:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Vertaa sitten hylkäyskohtaa. Epäonnistuminen portilla ennen mitään RADIUS-pakettia tarkoittaa, että asiakas ja portti olivat eri mieltä menetelmästä. EAP-määritteitä kantava RADIUS-hylkäys tarkoittaa, että päät suorittivat menetelmän ja yksi niistä hylkäsi tuloksen.

Suunnittele siirto yhtenä päästä päähän -muutoksena

Menetelmän vaihtaminen tarkoittaa asiakkaan kokoonpanon, portin kuljettajatuen, palvelimen menetelmäkäytännön ja tunnistetietovaraston vaihtamista yhdessä. Tee se tässä järjestyksessä ja pidä toimiva polku, kunnes uusi on todistettu. Vain palvelinpuolen muutos on arvaus, ja se rikkoo yleensä asiakkaat, jotka toimivat. Valmistele muutos yhdellä testi-identiteetillä ennen kuin kosket ryhmään.

Kirjaa yhdistelmä, joka toimii: VPN-protokolla, EAP-kuljetin, vastapuolen menetelmä, palvelimen menetelmä, tunnistetietotyyppi ja palvelimen identiteettitarkistus.

Pidä hallinnollinen AAA-kirjautuminen erillään VPN-todennuksesta, ellei tehtävä nimenomaisesti sisällä molempia. Etäkäyttöön tarkoitettu muutos ei saisi viedä sinulta mahdollisuutta hallita laitetta, joka sen päättää.