מדוע RADIUS רואה כתובת IP במקום שם המשתמש ב-VPN

לקוח Windows IKEv2 מתחבר, ובקשת RADIUS מגיעה עם כתובת במקום שבו אמור להיות שם החשבון. דבר עוד לא נכשל, וזה בדיוק מה שמבלבל: השער מדווח על הזהות שהלקוח הציג בשכבת ה-IKE. שם המשתמש שהבקאנד שלכם רוצה עשוי לבוא מחילופי EAP נפרדים שעוד לא התרחשו. החליטו מי מבקש אותו לפני שתשנו את החשבון.

שתי זהויות נוסעות בחיבור אחד

שני שמות יכולים להופיע בחיבור אחד. זהות ה-IKE מזהה את העמית במהלך הקמת המנהרה, ותוסף eap-radius מעתיק אותה תחילה אל RADIUS User-Name. זהות EAP היא ערך אחר, שמשמש לאימות המשתמש, וייתכן שלעולם לא תישלח אם אף אחד לא יבקש אותה.

לכן יומן RADIUS יכול להראות כתובת בזמן שהחשבון קיים והסיסמה נכונה. שואלים את הבקאנד על השכבה הלא נכונה. מאפיין RADIUS הוא רק אמצעי התעבורה לשם שנבחר.

בקשו מהשער לבקש זהות EAP

סידור אחד נתמך מאפשר לשער לבקש את זהות EAP לפני מסירת האימות ל-RADIUS. בקטע האימות מרחוק של החיבור, הגדירו את השיטה ל-eap-radius ובקשו את זהות EAP במפורש. הקטע שלהלן שייך בתוך בלוק חיבור קיים, ולא בקובץ משל עצמו. אשרו את החיבור ואת הבקאנד של התצורה לפני שתעתיקו תחביר מפריסה אחרת.

remote {
    auth = eap-radius
    eap_id = %any
}

עם זה, הבקאנד מקבל את הזהות שהלקוח מספק בחילופי EAP במקום את כתובת ה-IKE. שום דבר אחר בחיבור לא משתנה.

או הניחו ל-RADIUS להתחיל את חילופי EAP

הסידור האחר שם את הצעד הראשון בצד RADIUS. התוסף יכול לשלוח אות EAP-Start במקום להמתין לתגובת זהות ראשונית, מה שמאפשר לשרת להוביל את החילופים. זו תצורה ברמת התוסף, ולכן היא משפיעה על כל חיבור שמשתמש בתוסף.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

בחרו סידור אחד עם מפעיל RADIUS במקום להפעיל את שניהם ולקוות. הם מתארים זרימות עבודה שונות, ושרת שמצפה להתחיל לא בהכרח יטפל בשער שמתחיל את השיחה. תיעוד התוסף מתאר את שניהם, כולל איזו זהות כל שלב נושא.

עקבו אחרי ניסיון אחד בשני היומנים

תאמו ניסיון בודד בשני היומנים. הביטו בזהות ה-IKE, אחר כך אם מתרחשים חילופי EAP-Identity, ואחר כך איזה שם מקבל שלב האימות. בקאנד שדוחה את הכתובת לפני חילופי EAP יכול לעצור את התהליך לפני שהזהות המיועדת שלכם תיראה אי פעם.

journalctl -u strongswan -f

שמרו על פורמט שם המשתמש המדויק שהמערכת לזהויות מצפה לו, כולל קידומת התחום. לעולם אל תמציאו חשבון מערך בצורת כתובת, ולעולם אל תכבו את האימות כדי לקיים כלל מדיניות. זהות EAP היא שם מוצהר, והשיטה עדיין צריכה להוכיח אותו. כתבו את השם שנוצר ברשומת הבדיקה כדי שהניסיון הבא יתחיל ממצב ידוע.

אם הזרימה המתוקנת מגיעה לחשבון הנכון ועדיין נדחית, הראיה הבאה היא שיטת EAP ומדיניות הבקאנד, לא הזהות. חזרה על איפוס סיסמה לא יכולה לתקן ערך שנבחר בשכבת פרוטוקול מוקדמת יותר.