EAP trí gheata VPN: cé a chríochnaíonn an modh

Déanann ticéid tacaíochta cur síos ar logáil isteach VPN ar theip uirthi agus ar pholasaí RADIUS a éilíonn modh níos láidre amhail gur an fhadhb chéanna iad, agus ní hea. Glacann an geata le dintiúir agus seolann sé ar aghaidh iad, nó iompraíonn sé comhrá EAP idir an cliant agus an freastalaí fíordheimhniúcháin. Cinneann sé sin an féidir le hathrú ar thaobh an fhreastalaí aon rud a shocrú. Léigh an malartú sula n-athraíonn tú grúpa an fhreastalaí.

Dhá chonair fhíordheimhniúcháin atá cosúil le chéile i loga

Ar an gcéad chonair bailíonn geata VPN ainm úsáideora agus focal faire agus seolann sé RADIUS Access-Request le tréith fhocail faire. Cuireann an freastalaí fíordheimhniúcháin i gcomparáid lena stór dintiúir é agus freagraíonn sé le glacadh nó diúltú. Ní rithfidh an cliant modh EAP riamh, mar níor iarr aon rud air é.

Ar an dara conair ritheann an cliant agus an freastalaí fíordheimhniúcháin an modh EAP ó cheann go ceann, agus seolann an geata tréithe EAP-Message eatarthu. Críochnaíonn an geata an comhrá RADIUS seachtrach fós, ach tá loighic an mhodha ag an dá fhoirceann.

Táirgeann an dá chonair líne i loga a deir gur theip ar fhíordheimhniú. Ní féidir ach leis an dara ceann a bheith faoi thionchar an mhodha EAP is fearr leis an bhfreastalaí, agus ní féidir ach leis an gcéad cheann a bheith faoi thionchar an chaoi a léann an geata an focal faire. Iad a láimhseáil mar rudanna inathraithe is ea an chaoi a gcaithfidh foirne lá ag athrú grúpaí freastalaí do chliant nár labhair PEAP riamh.

Cá mbíonn an modh ag rith i ndáiríre

RFC 3579 sainmhíníonn an socrú pasála: iompraíonn an NAS paicéid EAP i dtréithe RADIUS agus ní gá cód ar leith do gach cineál EAP. Sin é an fáth gur féidir le geata tacú le PEAP agus EAP-TLS gan ceachtar acu a chur i bhfeidhm.

Ní iompraíonn geata a sheolann focal faire PEAP, fiú dá nglacfadh an cúlsheirbhís le PEAP ó chliant eile. Ní chuireann cumasú PEAP i bpolasaí an fhreastalaí modh le cliant nár thairg ceann riamh.

Baineann socruithe fíordheimhniúcháin PPP leis an tseirbhís PPP. Ní ath-chumraíonn siad go ciúin gach conair IPsec nó XAuth sean a úsáideann an freastalaí AAA céanna, mar sin féadfaidh athrú a oibríonn do chineál amháin rochtana an ceann eile a fhágáil gan teagmháil.

Cad a chaithfidh an NAS a sheasamh

Aistríonn pasáil an riachtanas ó chód an mhodha go dtacaíocht an iompróra. Caithfidh an geata EAP a iompar thar a phrótacal VPN, agus caithfidh an cliant RADIUS air tréithe EAP-Message de na méideanna i gceist a sheoladh agus a fháil.

Maidir le IKEv2 tá EAP mar chuid de shreabhadh fíordheimhniúcháin sainithe, agus tagann seiceálacha céannachta agus muiníne an fhreastalaí ón sreabhadh sin. Ní aistrítear lipéad PEAP a fuarthas ar iasacht ó imscaradh 802.1X go huathoibríoch, mar tá an chaibidlíocht ina thimpeall difriúil.

Tá riachtanais ag taobh an chliaint freisin. Caithfidh sé a bheith cumraithe don mhodh, muinín a bheith aige as teastas an fhreastalaí a chuireann an modh i láthair, agus dintiúir a bheith aige ar féidir leis an modh iad a úsáid. Teipeann ar mhodh teastais gan teastas cliaint sula bhfeiceann RADIUS aon rud, agus is fadhb soláthair é sin seachas polasaí freastalaí.

Léigh iarracht amháin sula n-athraíonn tú polasaí

Gabhtar iarracht cheadaithe amháin ag an geata agus ag an bhfreastalaí fíordheimhniúcháin. Lorg tréithe EAP-Message san iarraidh RADIUS. Deir a láithreacht go bhfuil an chonair phasála in úsáid; tugann a n-éagmais leid ar mhalartú dintiúr.

Ar gheata Linux taispeánann gabháil ar an bport RADIUS cé na tréithe atá ar an sreang:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Ansin cuir an pointe diúltaithe i gcomparáid. Ciallaíonn teip ag an geata roimh aon phaicéad RADIUS nach raibh an cliant agus an geata ar aon intinn faoin modh. Ciallaíonn diúltú RADIUS a iompraíonn tréithe EAP gur rith na foircinn an modh agus gur dhiúltaigh ceann acu don toradh.

Pleanáil an aistriú mar athrú amháin ó cheann go ceann

Athrú modha is ea cumraíocht an chliaint, tacaíocht iompróra an gheata, polasaí modha an fhreastalaí agus an stór dintiúr a athrú le chéile. Déan é san ord sin agus coinnigh conair oibre go dtí go gcruthófar an ceann nua. Is buille faoi thuairim é athrú ar thaobh an fhreastalaí amháin, agus is gnách go mbristear na cliaint a bhí ag obair. Ullmhaigh an t-athrú ar aitheantas tástála amháin sula dteagmhaíonn tú leis an ngrúpa.

Taifead an teaglaim a oibríonn: prótacal VPN, iompróir EAP, modh an phiar, modh an fhreastalaí, cineál dintiúir agus seiceáil céannachta an fhreastalaí.

Coinnigh AAA logála isteach riaracháin ar leithligh ó fhíordheimhniú VPN mura n-áirítear an dá rud go sainráite sa tasc. Níor cheart d'athrú atá beartaithe le haghaidh rochtana cianda do chumas an fheiste a bhainistíonn sé a bhaint díot.