eapol_test oer in VPN: hat de RADIUS-útwikseling laach 2 nedich?

Freegje om in laboratoarium-switchpoarte om eapol_test rinne te kinnen — en do hast it ark wierskynlik ferkeard begrepen. De peer en de RADIUS-klant libje beide yn dat iene binêre bestân, dus it iennige petear dat de masine ferlit is de RADIUS-útwikseling sels. In rûtearre tunnel tusken de testhost en de autentikaasjetsjinner is de hiele netwurkfoardering. It fysike 802.1X-paad is in oar ding datsto miskien noch testen moatst, en it is dit net.

Wêrom't de namme minsken in switchpoarte sykje lit

EAPOL is it frameformaat dat in supplicant en in switch op in LAN brûke, en it ark lient de namme om't it út dy wrâld groeid is. Wat levere wurdt is in testprogramma dat de peer-tastêdmasine en de RADIUS-klant yn ien proses draacht, dus de beide helten fan in 802.1X-petear moetsje inoar nea oer in tried. De namme is skiednis, net in topologyske foardering.

Minsken freegje noch altyd om de poarte om't it programma op it gedrach fan in autentikator sit, en dat klinkt as hardware. Syn lijm reprodusearret de tastêdmasine fan de autentikator, dus in test foltôget sûnder in tagongspunt yn 'e keamer; it kompilearre binêre bestân keppele wpa_supplicant syn EAP-peer oan hostapd syn RADIUS-klant. It fuortheljen fan de switch hellet de EAPOL-hop fuort, net de autentikaasjelogika. Wat oerbliuwt is in klant-tsjinner-útwikseling tusken twa IP-hosts.

Folgje ien RADIUS-útwikseling hop foar hop

Folgje ien besykjen en it paad is koart. De peer yn eapol_test produsearret in EAP-Response foar de metoade dy'tsto konfigurearre hast, en de RADIUS-klant yn itselde proses set it yn in Access-Request, en draacht de lading yn EAP-Message-attributen neist in Message-Authenticator. Dat datagram wurdt nei de tsjinner op UDP-poarte 1812 adressearre en ferlit de host as elk oar IP-pakket, en dêr komt de tunnel yn. De tsjinner beoardielet it tsjin syn belied en syn metodemodulen en antwurdet dan mei Access-Challenge, Access-Accept of Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

It binêre bestân nimt it tsjinneradres, de poarte en it dielde geheim fan 'e kommandorigel, en de metoade en de oanmeldgegevens fan in konfiguraasjeblok yn wpa_supplicant-styl. Neat yn dy oanrop hinget fan in buorskip fan laach 2 ôf: -a wurdt troch rûtelearring berikt, en in VPN dy't it rûtelet is genôch. As de tunnel it datagram falle lit, mislearret de test krekt sa as tsjin in ûnberikbere tsjinner op in flak LAN.

It binêre bestân en it tsjinnerbelied binne ferskillende listen

Twa ûnôfhinklike listen beslisse oft in metoade trochkomme kin, en harren betiizje kostet in dei. De earste list is yn it binêre bestân kompilearre: de build-konfiguraasje kiest hokker EAP-methoden besteane, dus in build sûnder in metoade kin dy net ûnderhannelje, wat de tsjinner ek tastiet. De twadde list libbet op de tsjinner, dêr't belied seit hokker fan 'e stipe methoden dizze klantklasse brûke mei. Trochkomme freget in snijflak, en gjin list kin in gat yn 'e oare folje.

Kontrolearje dy earste list foardatst de tsjinner de skuld jout. Sykje de metodenaam yn it ynstallearre binêre bestân, of lês de build-konfiguraasje dêr't it fan komt. As de metoade ûntbrekt, bou dan opnij yn stee fan it RADIUS-belied te bewurkjen; as er oanwêzich is en de útwikseling noch mislearret, is it probleem nei oanmeldgegevens, belied of sertifikaatfertrouwen ferhuze.

Wat in trochkomst noch net dekt

In suksesfolle run bewiist ien metoade, foar ien set oanmeldgegevens, tsjin ien RADIUS-belied, oer ien netwurkpaad. It oefenet net de radio fan it tagongspunt, de EAPOL-ôfhanneling fan in switch, de VLAN-tawizing dy't op autentikaasje folget, of de wize dêr't in VPN-konsintrator him yn deselde tsjinner yntegrearret. Dy ûnderdielen wiene nea op it testte paad. Behandelje it resultaat as beheind bewiis, en sis hokker grins it dekt assto it rapportearrest.

De nuttige registraasje is wat de tsjinner en it proses elk waarnamen: hokker metoade ûnderhannele waard, wêr't de útwikseling stoppe, en wat de tsjinner logge. Hâld dielde geheimen en partikuliere kaai bûten dy registraasje.

Kontrolelist foardatsto it resultaat sitearrest

Foardat immen de útfier as goedkarring behannelet, befêstigje fjouwer dingen. De build befettet de testte metoade, it RADIUS-einpunt en it dielde geheim hearre by de omjouwing dy't test wurdt, it tsjinnerbelied lit dizze testidentiteit ta, en it netwurkpaad is fan deselde klasse as it paad dat produksjeklanten brûke. Neam dan wat de run net oanrekke: tagongspunt, switch, VLAN en konsintratoryntegraasje hawwe elk har eigen rigel yn it testplan nedich.

Twa testen mei twa eigners ferslaan ien dûbelsinnige goedkarring. De run fan eapol_test beantwurdet de fraach fan metoade en tsjinner; de tagongstsjinst beantwurdet de fraach fan hanthavening.