eapol_test VPN:n yli: tarvitseeko RADIUS-vaihto kerrosta 2?

Pyydä laboratorion kytkinportti, jotta voit ajaa eapol_test — ja olet todennäköisesti ymmärtänyt työkalun väärin. Peer ja RADIUS-asiakas asuvat molemmat samassa binääritiedostossa, joten ainoa koneesta lähtevä keskustelu on itse RADIUS-vaihto. Reititetty tunneli testi-isännän ja todennuspalvelimen välillä on koko verkkovaatimus. Fyysinen 802.1X-polku on toinen asia, joka sinun ehkä vielä täytyy testata, eikä se ole tämä.

Miksi nimi saa ihmiset etsimään kytkinporttia

EAPOL on kehysmuoto, jota supplicant ja kytkin käyttävät lähiverkossa, ja työkalu lainaa nimeä, koska se kasvoi siitä maailmasta. Toimitettava ohjelma on testiohjelma, joka kantaa peerin tilakoneen ja RADIUS-asiakkaan yhdessä prosessissa, joten 802.1X-keskustelun kaksi puoliskoa eivät koskaan kohtaa johtoa pitkin. Nimi on historiaa, ei topologiavaatimus.

Ihmiset pyytävät porttia edelleen, koska ohjelma nojaa autentikaattorin käyttäytymiseen, ja se kuulostaa laitteistolta. Sen liima toistaa autentikaattorin tilakoneen, joten testi valmistuu ilman yhtään tukiasemaa huoneessa; käännetty binääri linkittää wpa_supplicantin EAP-peerin hostapdin RADIUS-asiakkaaseen. Kytkimen poistaminen poistaa EAPOL-hypyn, ei todennuslogiikkaa. Jäljelle jää asiakas-palvelin-vaihto kahden IP-isännän välillä.

Seuraa yhtä RADIUS-vaihtoa hyppy hypyltä

Seuraa yhtä yritystä ja polku on lyhyt. eapol_test sisällä oleva peer tuottaa EAP-Responsen määrittämällesi menetelmälle, ja saman prosessin RADIUS-asiakas laittaa sen Access-Requestiin ja kantaa hyötykuorman EAP-Message-attribuuteissa Message-Authenticatorin vieressä. Datagrammi on osoitettu palvelimelle UDP-porttiin 1812, ja se lähtee isännästä kuin mikä tahansa muu IP-paketti, ja siinä tunneli astuu kuvaan. Palvelin arvioi sen käytäntönsä ja menetelmämoduuliensa mukaan ja vastaa sitten Access-Challengella, Access-Acceptilla tai Access-Rejectillä.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binääri ottaa palvelimen osoitteen, portin ja jaetun salaisuuden komentoriviltä sekä menetelmän ja tunnistetiedot wpa_supplicant-tyylisestä asetuskokonaisuudesta. Mikään siinä kutsussa ei riipu kerroksen 2 naapuruudesta: -a saavutetaan reitityksellä, ja VPN, joka reitittää sen, riittää. Jos tunneli pudottaa datagrammin, testi epäonnistuu täsmälleen kuten saavuttamattoman palvelimen kohdalla litteässä lähiverkossa.

Binääri ja palvelimen käytäntö ovat eri luetteloita

Kaksi riippumatonta luetteloa päättää, voiko menetelmä mennä läpi, ja niiden sekoittaminen maksaa päivän. Ensimmäinen luettelo on käännetty binääriin: koontiasetukset valitsevat, mitkä EAP-menetelmät ovat olemassa, joten koonti ilman menetelmää ei voi neuvotella sitä, mitä palvelin sallii. Toinen luettelo elää palvelimella, jossa käytäntö kertoo, mitä tuetuista menetelmistä tämä asiakasluokka saa käyttää. Läpipääsy vaatii leikkauksen, eikä kumpikaan luettelo voi täyttää aukkoa toisessa.

Tarkista tuo ensimmäinen luettelo ennen kuin syytät palvelinta. Etsi menetelmän nimi asennetusta binääristä tai lue koontiasetukset, joista se tuli. Jos menetelmä puuttuu, kokoa uudelleen sen sijaan että muokkaisit RADIUS-käytäntöä; jos se on läsnä ja vaihto epäonnistuu yhä, ongelma on siirtynyt tunnistetietoihin, käytäntöön tai varmenteen luottamukseen.

Mitä läpipääsy ei vielä kata

Onnistunut ajo todistaa yhden menetelmän, yhdelle tunnistetietojoukolle, yhtä RADIUS-käytäntöä vastaan, yhtä verkkopolkua pitkin. Se ei harjoita tukiaseman radiota, kytkimen EAPOL-käsittelyä, todennuksen jälkeistä VLAN-määritystä eikä tapaa, jolla VPN-keskitin integroituu samaan palvelimeen. Ne osat eivät olleet koskaan testatulla polulla. Käsittele tulosta rajattuna todisteena ja kerro, minkä rajan se kattaa, kun raportoit siitä.

Hyödyllinen kirjaus on se, mitä palvelin ja prosessi kumpikin havaitsivat: mikä menetelmä neuvoteltiin, mihin vaihto pysähtyi ja mitä palvelin kirjasi. Pidä jaetut salaisuudet ja yksityiset avaimet poissa siitä kirjauksesta.

Tarkistuslista ennen kuin lainaat tulosta

Ennen kuin kukaan käsittelee tulosteen hyväksyntänä, vahvista neljä asiaa. Koonti sisältää testattavan menetelmän, RADIUS-päätepiste ja jaettu salaisuus kuuluvat testattavaan ympäristöön, palvelimen käytäntö hyväksyy tämän testi-identiteetin ja verkkopolku on samaa luokkaa kuin tuotantoasiakkaiden käyttämä polku. Nimeä sitten, mitä ajo ei koskenut: tukiasema, kytkin, VLAN ja keskitinintegrointi tarvitsevat kukin oman rivinsä testisuunnitelmaan.

Kaksi testiä kahdella omistajalla voittaa yhden monitulkintaisen hyväksynnän. Ajo eapol_test vastaa menetelmä-ja-palvelin-kysymykseen; pääsypalvelu vastaa valvontakysymykseen.