EAP of kliïntsertifikaten? IKEv2-autentikaasje beslisse

Jo gateway kin syn eigen identiteit mei in sertifikaat bewize wylst er dy fan jo fia EAP bewize, en dy kombinaasje is gewoan yn stee fan tsjinstridich. De twa meganismen beantwurdzje ferskillende fragen: is dit einpunt datjinge dat ik ferwachtsje, en is dizze brûker of dit apparaat tastien. EAP yn in profyl sjen skeakelet serverfalidaasje net út. It lêzen fan it profyl as ien ynstelling is wat minsken it ferkearde bewiis weromsette lit.

Bepaal hokker bewearing mislearre is foardat jo ien fan beide objekten oanreitsje. De stapp fan de mislearring fertelt it jo, as jo it yn oarder lêze.

Twa bewizen, twa bewearings

In serversertifikaat bûnt in namme oan in kaai, en de kliïnt kontrolearret dy bining tsjin syn fertrouwensopslach. In kliïntsertifikaat bûnt in identiteit oan in kaai, en de gateway kontrolearret oft it oanbean sertifikaat keatst nei eat dat er fertrout. EAP draacht in autentikaasje-útwikseling waans ynhâld ôfhinklik is fan de keazen metoade. Dat binne trije struktueren mei ferskillende libbensdoer, ferskillende eigners en ferskillende mislearringsmodi.

In wachtwurdfraze dy’t in partikuliere kaai ûntslút is gjin akkountwachtwurd, sels as beide oproppen binnen sekonden fan elkoar ferskine. Ien is lokaal yn de kaaiopslach fan it apparaat, en de oare wurdt falidearre troch in autentikaasjeserver efter de gateway.

EAP is in kontener, gjin metoade

EAP is in ramt: de gateway en de kliïnt ûnderhannelje in metoade, en de metoade beslút oft in wachtwurd, in token, in tunnelisearre ynterne útwikseling of in sertifikaat belutsen is, sa’t de strongSwan-dokumintaasje oer IKEv2 it útlizt. Dêrom liket EAP-TLS fan de kliïntkant hielendal net op EAP-MSCHAPv2, ek al ferskine beide as EAP yn in menu. In profyl dat allinnich EAP neamt, hat jo net ferteld wat der fan de brûker frege wurdt.

Lês de metoade en de backend tegearre. De backend bepaalt akkountformaat, blokkeargedrach en wat in wachtwurdweromsetting eins feroaret, en neat dêrfan is yn it kliïntprofyl sichtber.

De mingde útrulling is normaal

Serversertifikaat plus EAP foar de brûker is de foarm dy’t de measte gatewayen foar ôfstân tagong útrulle, om’t it de kliïnt in ferifiearber einpunt jout en de operator in identiteit per brûker yn in sintrale akkountopslach. Der binne ek útrullings mei kliïntsertifikaten, meastentiids dêr’t apparaatidentiteit wichtiger is as in wachtwurd. Beide binne legitime, en de flater is oan te nimmen dat wat jo ferline wike seagen dat is wat foar jo stiet.

Freegje de operator om de dokumintearre metoade en akkountformaat yn stee fan se ôf te lieden út fjildnammen yn in kliïnt.

Beslisse op basis fan de mislearringstap

Set de observaasjes yn oarder. In fertrouwensflater foar elke brûkersoprop is in serversertifikaatprobleem en gjin wachtwurd sil it reparearje. In oprop folge troch in ôfwizing is in brûkersautentikaasjeprobleem, mei de EAP-metoade en de backend as fertochten. In suksesfolle autentikaasje folge troch in child-SA-mislearring is gjin fan beide.

Twa oare ûnderskiedingen binne wichtich. In kliïnt dy’t it serversertifikaat wegeret, meldt meastentiids in nammemismatch of in ûnbekende autoriteit, wat in fertrouwensopslachfraach is. In gateway dy’t de brûker wegeret, logt faak de EAP-metoade en in redenkategory, wat in akkount- of beliedsfraach is.

De twa modellen betsjinje

Foar sertifikaten is it wurk útjaan, fernijen, yntrekken en it fuortheljen fan ferlerne apparaten, en it bart neffens in skema dat jo kontrolearje. Foar EAP is it wurk akkountlibbenssyklus, stipe fan metoaden op elk kliïntplatfoarm en hokker twadde faktor de backend ek freget. Gjin model is abstrakt goedkeaper; se belêste ferskillende teams. Skriuw op hokker jo útrulling eins brûkt, om’t de stipescripts mear ferskille as de konfiguraasje.

Hâld se apart yn jo notysjes. In sertifikaatferfal produsearret in mislearring op in datum, in akkountblokkade produsearret in mislearring nei in wachtwurdferoaring, en in metoade-mismatch produsearret in mislearring op mar ien platfoarm.

Nei’t de identiteit akseptearre is

Autentikaasje is ien poarte. De child befeiligingsassosjaasje, de ferkiersselekteurs, DNS en de eigen rjochten fan de applikaasje binne lettere poarten, en elk mislearret op syn eigen betingsten. In akseptearre identiteit dy’t neat berikt is gjin autentikaasjeprobleem.

Skriuw de metoade, it brûkte akkount of sertifikaat en de stap dy’t mislearre op. Dy notysje makket it folgjende ynsidint in opfraach yn stee fan in eksperimint.