EAP troch in VPN-gedoarte: wa't de metoade beëiniget

Helpdesktickets beskriuwe in mislearre VPN-oanmelding en in RADIUS-belied dat in sterker metoade easket as wie it itselde probleem, en dat is it net. De gedoarte akseptearret oanmeldgegevens en stjoert dy troch, of se draacht in EAP-petear tusken de client en de autentikaasjeserver. Hokker fan beide bart, beslút oft in wiziging oan serverside wol wat oplosse kin. Lês de útwikseling foardat jo de servergroep bewurkje.

Twa autentikaasjepaden dy't yn in log itselde lykje

Yn it earste paad sammelt de VPN-gedoarte in brûkersnamme en wachtwurd en stjoert in RADIUS Access-Request mei in wachtwurdattribút. De autentikaasjeserver fergeliket it mei syn bewarplak en antwurdet akseptearje of wegerje. De client fiert nea in EAP-metoade út, om't neat dat frege.

Yn it twadde paad fiere de client en de autentikaasjeserver de EAP-metoade fan begjin oant ein út, en de gedoarte stjoert EAP-Message-attributen tusken harren troch. De gedoarte beëiniget noch hieltyd it bûtenste RADIUS-petear, mar de logika fan de metoade wennet op beide einen.

Beide paden meitsje in rigel yn in log dy't seit dat autentikaasje mislearre. Allinnich it twadde kin beynfloede wurde troch hokker EAP-metoade de server foarkar jout, en allinnich it earste troch hoe't de gedoarte it wachtwurd lêst. Se as útwikselber behannelje is hoe't teams in dei besteegje oan it feroarjen fan servergroepen foar in client dy't nea PEAP sprekke soe.

Wêr't de metoade eins rint

RFC 3579 definiearret de trochjaanregeling: de NAS draacht EAP-pakketten yn RADIUS-attributen en hat gjin metoade-spesifike koade foar elk EAP-type nedich. Dêrom kin in gedoarte PEAP en EAP-TLS stypje sûnder ien fan beide te ymplementearjen.

In gedoarte dy't in wachtwurd yntsjinnet, draacht gjin PEAP, sels as de backend PEAP fan in oare client akseptearje soe. PEAP ynskeakelje yn it serverbelied foeget gjin metoade ta oan in client dy't der nea ien oanbean hat.

PPP-autentikaasje-ynstellingen hearre by de PPP-tsjinst. Se konfigurearje net stil elk IPsec- of âld XAuth-paad op 'e nij dat deselde AAA-server brûkt, dus in wiziging dy't foar ien tagongstype wurket, kin it oare ûnoantaat litte.

Wat de NAS stypje moat

Trochjaan ferskoot de eask fan metoadekoade nei dragerstipe. De gedoarte moat EAP oer syn VPN-protokol drage kinne, en de RADIUS-client dêrop moat EAP-Message-attributen fan de oanbelangjende grutten stjoere en ûntfange kinne.

Foar IKEv2 is EAP diel fan in definiearre autentikaasjefleat, en de identiteits- en fertrouwenskonstroles fan de server komme út dy fleat. In PEAP-label liend fan in 802.1X-útrulling draacht net automatysk oer, om't de ûnderhanneling deromhinne oars is.

De klientside hat ek easken. It moat foar de metoade konfigurearre wêze, it servercertifikaat fertrouwe dat de metoade presintearret, en oanmeldgegevens hawwe dy't de metoade brûke kin. In op certifikaten basearre metoade sûnder clientcertifikaat mislearret foardat RADIUS eat sjocht, wat in foarsjenningprobleem is en gjin serverbeliedsprobleem.

Lês ien besykjen foardat jo belied feroarje

Fang ien goedkard besykjen op by de gedoarte en by de autentikaasjeserver. Sjoch nei EAP-Message-attributen yn it RADIUS-fersyk. Har oanwêzigens seit dat it trochjaanpaad brûkt wurdt; har ôfwêzigens wiist op in útwikseling fan oanmeldgegevens.

Op in Linux-gedoarte lit in opname op 'e RADIUS-poarte sjen hokker attributen op 'e tried steane:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Fergelykje dan it wegeringspunt. In mislearring by de gedoarte foarat elk RADIUS-pakket betsjut dat client en gedoarte it net iens wiene oer de metoade. In RADIUS-wegering mei EAP-attributen betsjut dat de einen de metoade útfierd hawwe en ien fan har it resultaat wegere.

Plan de migraasje as ien feroaring fan ein oant ein

De metoade feroarje betsjut de clientkonfiguraasje, de dragerstipe fan de gedoarte, it metoadebelied fan de server en it bewarplak fan oanmeldgegevens tagelyk feroarje. Doch dat yn dy folchoarder en hâld in wurkjend paad oant it nije bewiisd is. In wiziging allinnich oan serverside is in gissing, en it brekt meastal de clients dy't wurken. Tariede de feroaring op ien testidentiteit foardat jo de groep oanreitsje.

Skriuw de kombinaasje op dy't wurket: VPN-protokol, EAP-drager, metoade fan de partner, metoade fan de server, type oanmeldgegevens en identiteitskonstrole fan de server.

Hâld administrative AAA-oanmelding los fan VPN-autentikaasje, útsein as de taak beide eksplisyt omfettet. In feroaring foar tagong op ôfstân moat jo net it fermogen ûntnimme om it apparaat te behearjen dat it beëiniget.