VPN गेटवे के माध्यम से EAP: विधि कौन समाप्त करता है

हेल्पडेस्क टिकट असफल VPN लॉगिन और मजबूत विधि की मांग करने वाली RADIUS नीति को एक ही समस्या की तरह बताते हैं, जबकि वे नहीं हैं। गेटवे या तो क्रेडेंशियल स्वीकार कर आगे भेजता है, या क्लाइंट और प्रमाणीकरण सर्वर के बीच EAP बातचीत ले जाता है। इनमें से क्या होता है यह तय करता है कि सर्वर पक्ष में बदलाव कुछ ठीक कर सकता है या नहीं। सर्वर समूह संपादित करने से पहले अदला-बदली पढ़ें।

लॉग में एक जैसे दिखने वाले दो प्रमाणीकरण पथ

पहले पथ में VPN गेटवे उपयोगकर्ता नाम और पासवर्ड एकत्र करता है और पासवर्ड विशेषता के साथ RADIUS Access-Request भेजता है। प्रमाणीकरण सर्वर उसकी तुलना अपने भंडार से करता है और स्वीकार या अस्वीकार उत्तर देता है। क्लाइंट कभी EAP विधि नहीं चलाता, क्योंकि किसी ने उससे यह नहीं मांगा।

दूसरे पथ में क्लाइंट और प्रमाणीकरण सर्वर EAP विधि को शुरू से अंत तक चलाते हैं, और गेटवे उनके बीच EAP-Message विशेषताएं भेजता है। गेटवे अब भी बाहरी RADIUS बातचीत समाप्त करता है, लेकिन विधि का तर्क दोनों सिरों पर रहता है।

दोनों पथ लॉग में एक पंक्ति बनाते हैं कि प्रमाणीकरण असफल हुआ। केवल दूसरा ही सर्वर की पसंदीदा EAP विधि से प्रभावित हो सकता है, और केवल पहला इस बात से कि गेटवे पासवर्ड कैसे पढ़ता है। इन्हें विनिमेय मानना ही वह कारण है कि टीमें एक ऐसे क्लाइंट के लिए दिन भर सर्वर समूह बदलती हैं जो कभी PEAP बोलने वाला ही नहीं था।

विधि वास्तव में कहां चलती है

RFC 3579 पास-थ्रू व्यवस्था को परिभाषित करता है: NAS RADIUS विशेषताओं में EAP पैकेट ले जाता है और हर EAP प्रकार के लिए विधि-विशिष्ट कोड की आवश्यकता नहीं होती। इसलिए गेटवे PEAP और EAP-TLS का समर्थन बिना किसी को लागू किए कर सकता है।

जो गेटवे पासवर्ड जमा करता है वह PEAP नहीं ले जाता, भले ही बैकएंड किसी अन्य क्लाइंट से PEAP स्वीकार करे। सर्वर नीति में PEAP सक्षम करना ऐसे क्लाइंट में विधि नहीं जोड़ता जिसने कभी एक भी प्रस्तावित नहीं की।

PPP प्रमाणीकरण सेटिंग्स PPP सेवा की हैं। वे उसी AAA सर्वर का उपयोग करने वाले हर IPsec या पुराने XAuth पथ को चुपचाप पुनः कॉन्फ़िगर नहीं करतीं, इसलिए एक एक्सेस प्रकार के लिए काम करने वाला बदलाव दूसरे को अछूता छोड़ सकता है।

NAS को क्या समर्थन देना चाहिए

पास-थ्रू आवश्यकता को विधि कोड से वाहक समर्थन की ओर ले जाता है। गेटवे को अपने VPN प्रोटोकॉल पर EAP ले जाना सक्षम होना चाहिए, और उस पर का RADIUS क्लाइंट संबंधित आकार की EAP-Message विशेषताएं भेज और प्राप्त कर सके।

IKEv2 के लिए EAP एक परिभाषित प्रमाणीकरण प्रवाह का हिस्सा है, और सर्वर की पहचान व विश्वास जांच उसी प्रवाह से आती है। 802.1X परिनियोजन से उधार लिया गया PEAP लेबल स्वतः स्थानांतरित नहीं होता, क्योंकि उसके आसपास की बातचीत अलग है।

क्लाइंट पक्ष की भी आवश्यकताएं हैं। उसे विधि के लिए कॉन्फ़िगर होना चाहिए, विधि द्वारा प्रस्तुत सर्वर प्रमाणपत्र पर भरोसा करना चाहिए और ऐसे क्रेडेंशियल रखने चाहिए जिन्हें विधि उपयोग कर सके। क्लाइंट प्रमाणपत्र के बिना प्रमाणपत्र-आधारित विधि RADIUS के कुछ देखने से पहले ही विफल हो जाती है, जो सर्वर नीति नहीं बल्कि प्रावधान की समस्या है।

नीति बदलने से पहले एक प्रयास पढ़ें

गेटवे और प्रमाणीकरण सर्वर पर एक स्वीकृत प्रयास कैप्चर करें। RADIUS अनुरोध में EAP-Message विशेषताएं खोजें। उनकी उपस्थिति बताती है कि पास-थ्रू पथ उपयोग में है; उनकी अनुपस्थिति क्रेडेंशियल अदला-बदली की ओर संकेत करती है।

Linux गेटवे पर RADIUS पोर्ट पर कैप्चर दिखाता है कि तार पर कौन सी विशेषताएं हैं:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

फिर अस्वीकृति बिंदु की तुलना करें। किसी भी RADIUS पैकेट से पहले गेटवे पर विफलता का अर्थ है कि क्लाइंट और गेटवे विधि पर सहमत नहीं थे। EAP विशेषताओं वाली RADIUS अस्वीकृति का अर्थ है कि दोनों सिरों ने विधि चलाई और उनमें से एक ने परिणाम अस्वीकार किया।

माइग्रेशन को एक ही शुरू-से-अंत बदलाव के रूप में योजना बनाएं

विधि बदलने का अर्थ है क्लाइंट कॉन्फ़िगरेशन, गेटवे का वाहक समर्थन, सर्वर की विधि नीति और क्रेडेंशियल भंडार एक साथ बदलना। इसे इसी क्रम में करें और नया सिद्ध होने तक कार्यशील पथ बनाए रखें। केवल सर्वर पक्ष का बदलाव अनुमान है, और यह आमतौर पर उन क्लाइंट को तोड़ता है जो काम कर रहे थे। समूह को छूने से पहले एक परीक्षण पहचान पर बदलाव तैयार करें।

जो संयोजन काम करता है उसे दर्ज करें: VPN प्रोटोकॉल, EAP वाहक, सहकर्मी विधि, सर्वर विधि, क्रेडेंशियल प्रकार और सर्वर पहचान जांच।

प्रशासनिक लॉगिन AAA को VPN प्रमाणीकरण से अलग रखें, जब तक कार्य स्पष्ट रूप से दोनों को शामिल न करे। दूरस्थ पहुंच के लिए इरादा किया गया बदलाव आपको उस डिवाइस को प्रबंधित करने की क्षमता न छीने जो इसे समाप्त करता है।