eapol_test kroz VPN: treba li RADIUS razmjena sloj 2?

Zatražite laboratorijski port na preklopniku da biste pokrenuli eapol_test i vjerojatno ste pogrešno shvatili alat. Peer i RADIUS klijent oba žive unutar te jedne binarne datoteke, pa je jedini razgovor koji napušta stroj sama RADIUS razmjena. Rutirani tunel između testnog hosta i poslužitelja za autentifikaciju cijeli je mrežni zahtjev. Fizička 802.1X staza druga je stvar koju možda još trebate testirati, i to nije ova.

Zašto ime šalje ljude u potragu za portom na preklopniku

EAPOL je format okvira koji supplicant i preklopnik koriste na LAN-u, a alat posuđuje ime jer je izrastao iz tog svijeta. Isporučuje se testni program koji nosi peer stroj stanja i RADIUS klijenta u jednom procesu, pa se dvije polovine 802.1X razgovora nikada ne sretnu preko žice. Ime je povijest, a ne zahtjev za topologijom.

Ljudi i dalje traže port jer program počiva na ponašanju autentifikatora, a to zvuči kao hardver. Njegovo ljepilo reproducira stroj stanja autentifikatora, pa se test završava bez pristupne točke u prostoriji; kompilirana binarna datoteka povezuje EAP peer iz wpa_supplicant s RADIUS klijentom iz hostapd. Uklanjanje preklopnika uklanja EAPOL skok, a ne logiku autentifikacije. Ono što ostaje je razmjena klijent-poslužitelj između dva IP hosta.

Pratite jednu RADIUS razmjenu skok po skok

Pratite jedan pokušaj i staza je kratka. Peer unutar eapol_test proizvodi EAP-Response za metodu koju ste konfigurirali, a RADIUS klijent u istom procesu stavlja ga u Access-Request, noseći korisni teret u EAP-Message atributima pokraj Message-Authenticator. Ta datagrama adresirana je na poslužitelj na UDP portu 1812 i napušta host kao i svaki drugi IP paket, i tu tunel ulazi u igru. Poslužitelj je ocjenjuje prema svojoj politici i svojim modulima metoda, a zatim odgovara s Access-Challenge, Access-Accept ili Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binarna datoteka uzima adresu poslužitelja, port i zajedničku tajnu iz naredbenog retka, a metodu i vjerodajnice iz konfiguracijskog bloka u stilu wpa_supplicant. Ništa u tom pozivu ne ovisi o susjedstvu sloja 2: -a postiže se rutiranjem, i dovoljan je VPN koji ga rutira. Ako tunel ispusti datagramu, test pada isto kao protiv nedostupnog poslužitelja na ravnom LAN-u.

Binarna datoteka i politika poslužitelja različiti su popisi

Dva neovisna popisa odlučuju može li metoda proći, a njihovo miješanje gubi dan. Prvi popis kompiliran je u binarnu datoteku: build konfiguracija bira koje EAP metode postoje, pa build bez neke metode ne može je pregovarati bez obzira na to što poslužitelj dopušta. Drugi popis živi na poslužitelju, gdje politika kaže koje od podržanih metoda ova klasa klijenata smije koristiti. Za prolaz je potreban presjek, i nijedan popis ne može popuniti prazninu u drugom.

Provjerite taj prvi popis prije nego okrivite poslužitelj. Pretražite instaliranu binarnu datoteku za imenom metode ili pročitajte build konfiguraciju iz koje je došao. Ako metoda nema, ponovno izgradite umjesto da mijenjate RADIUS politiku; ako postoji a razmjena i dalje pada, problem se preselio na vjerodajnice, politiku ili povjerenje u certifikat.

Što prolaz još uvijek ne pokriva

Uspješno pokretanje dokazuje jednu metodu, za jedan skup vjerodajnica, protiv jedne RADIUS politike, preko jedne mrežne staze. Ono ne vježba radio pristupne točke, EAPOL rukovanje preklopnika, dodjelu VLAN-a koja slijedi nakon autentifikacije, niti način na koji se VPN koncentrator integrira s istim poslužiteljem. Te komponente nikada nisu bile na testiranoj stazi. Tretirajte rezultat kao ograničen dokaz i recite koju granicu pokriva kada ga prijavljujete.

Korisni zapis je ono što su poslužitelj i proces svaki zasebno primijetili: koja metoda je pregovarana, gdje se razmjena zaustavila i što je poslužitelj zapisao. Držite zajedničke tajne i privatne ključeve izvan tog zapisa.

Kontrolni popis prije nego citirate rezultat

Prije nego itko tretira izlaz kao odobrenje, potvrdite četiri stvari. Build uključuje metodu koja se testira, RADIUS krajnja točka i zajednička tajna pripadaju okruženju koje se testira, politika poslužitelja propušta ovaj testni identitet, a mrežna staza iste je klase kao staza koju koriste produkcijski klijenti. Zatim navedite što pokretanje nije dotaklo: pristupna točka, preklopnik, VLAN i integracija koncentratora svaki trebaju svoj red u testnom planu.

Dva testa s dva vlasnika pobjeđuju jedno dvosmisleno odobrenje. eapol_test pokretanje odgovara na pitanje metode i poslužitelja; pristupna usluga odgovara na pitanje provođenja.