eapol_test sobre unha VPN: precisa o intercambio RADIUS a capa 2?

Pida un porto de conmutador de laboratorio para poder executar eapol_test e probablemente malinterpretou a ferramenta. O par e o cliente RADIUS viven ambos dentro dese único binario, así que a única conversa que sae da máquina é o propio intercambio RADIUS. Un túnel enrutado entre o host de probas e o servidor de autenticación é todo o requisito de rede. A ruta física 802.1X é outra cousa que quizais aínda teña que probar, e non é esta.

Por que o nome leva a xente a buscar un porto de conmutador

EAPOL é o formato de trama que un suplicante e un conmutador usan nunha LAN, e a ferramenta toma prestado o nome porque medrou dese mundo. O que se distribúe é un programa de probas que leva a máquina de estados do par e o cliente RADIUS nun só proceso, así que as dúas metades dunha conversa 802.1X nunca se atopan por un cable. O nome é historia, non un requisito de topoloxía.

A xente segue pedindo o porto porque o programa se apoia no comportamento do autenticador, e iso soa a hardware. O seu pegamento reproduce a máquina de estados do autenticador, así que unha proba complétase sen ningún punto de acceso na sala; o binario compilado liga o par EAP de wpa_supplicant co cliente RADIUS de hostapd. Quitar o conmutador quita o salto EAPOL, non a lóxica de autenticación. O que queda é un intercambio cliente-servidor entre dous hosts IP.

Siga un intercambio RADIUS salto a salto

Siga un só intento e a ruta é curta. O par dentro de eapol_test produce unha EAP-Response para o método que configurou, e o cliente RADIUS do mesmo proceso pona nunha Access-Request, levando a carga útil en atributos EAP-Message xunto a un Message-Authenticator. Ese datagrama diríxese ao servidor no porto UDP 1812 e sae do host como calquera outro paquete IP, e aí é onde entra o túnel. O servidor avalíao segundo a súa política e os seus módulos de métodos, e logo responde con Access-Challenge, Access-Accept ou Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

O binario toma o enderezo do servidor, o porto e o segredo compartido da liña de ordes, e o método e as credenciais dun bloque de configuración ao estilo de wpa_supplicant. Nada nesa invocación depende dunha adxacencia de capa 2: -a acádase por enrutamento, e abonda cunha VPN que o enrute. Se o túnel descarta o datagrama, a proba falla exactamente igual que contra un servidor inalcanzable nunha LAN plana.

O binario e a política do servidor son listas distintas

Dúas listas independentes deciden se un método pode pasar, e confundilas custa un día. A primeira lista está compilada dentro do binario: a configuración de compilación escolle que métodos EAP existen, así que unha compilación sen un método non pode negocialo faga o que faga o servidor. A segunda lista vive no servidor, onde a política di cales dos métodos admitidos pode usar esta clase de cliente. Para pasar fai falta unha intersección, e ningunha lista pode encher un oco na outra.

Revise esa primeira lista antes de culpar o servidor. Busque o nome do método no binario instalado ou lea a configuración de compilación da que saíu. Se o método non está, recompile en lugar de editar a política RADIUS; se está e o intercambio segue fallando, o problema trasladouse ás credenciais, a política ou a confianza no certificado.

O que unha proba superada aínda non cobre

Unha execución correcta demostra un método, para un conxunto de credenciais, contra unha política RADIUS, por unha ruta de rede. Non exercita a radio do punto de acceso, o tratamento EAPOL dun conmutador, a asignación de VLAN que segue á autenticación, nin a forma en que un concentrador VPN se integra co mesmo servidor. Eses compoñentes nunca estiveron na ruta probada. Trate o resultado como evidencia limitada e diga que límite cobre cando o informe.

O rexistro útil é o que o servidor e o proceso observaron cada un: que método se negociou, onde se detivo o intercambio e que rexistrou o servidor. Manteña os segredos compartidos e as claves privadas fóra dese rexistro.

Lista de comprobación antes de citar o resultado

Antes de que alguén trate a saída como unha aprobación, confirme catro cousas. A compilación inclúe o método probado, o extremo RADIUS e o segredo compartido pertencen á contorna que se proba, a política do servidor admite esta identidade de proba e a ruta de rede é da mesma clase que usan os clientes de produción. Logo nomee o que a execución non tocou: punto de acceso, conmutador, VLAN e integración do concentrador necesitan cada un a súa propia liña no plan de probas.

Dúas probas con dous responsables superan unha aprobación ambigua. A execución de eapol_test responde a pregunta do método e o servidor; o servizo de acceso responde a pregunta da aplicación.