EAP VPN-átjárón keresztül: ki fejezi be a módszert

A támogatási jegyek sikertelen VPN-bejelentkezést és erősebb módszert követelő RADIUS-házirendet írnak le, mintha ugyanaz a probléma volna, pedig nem az. Az átjáró vagy átveszi a hitelesítő adatokat és továbbítja, vagy EAP-beszélgetést visz az ügyfél és a hitelesítő kiszolgáló között. Melyik történik, eldönti, javíthat-e egyáltalán valamit a kiszolgáló oldali változtatás. Olvassa el a cserét, mielőtt szerkeszti a kiszolgálócsoportot.

Két hitelesítési útvonal, amely a naplóban egyformán néz ki

Az első útvonalon a VPN-átjáró összegyűjti a felhasználónevet és a jelszót, és RADIUS Access-Requestet küld jelszóattribútummal. A hitelesítő kiszolgáló összeveti a saját tárolójával, és elfogadással vagy elutasítással válaszol. Az ügyfél soha nem futtat EAP-módszert, mert semmi nem kérte erre.

A második útvonalon az ügyfél és a hitelesítő kiszolgáló végponttól végpontig futtatja az EAP-módszert, az átjáró pedig EAP-Message attribútumokat továbbít közöttük. Az átjáró továbbra is lezárja a külső RADIUS-beszélgetést, de a módszer logikája a két végponton él.

Mindkét útvonal naplósort hoz létre arról, hogy a hitelesítés sikertelen. Csak a másodikat befolyásolhatja, hogy a kiszolgáló melyik EAP-módszert részesíti előnyben, és csak az elsőt az, hogyan olvassa az átjáró a jelszót. Felcserélhetőnek tekinteni őket az oka annak, hogy a csapatok egy napot töltenek kiszolgálócsoportok módosításával egy olyan ügyfélért, amely soha nem akart PEAP-et beszélni.

Hol fut valójában a módszer

RFC 3579 határozza meg az áteresztő elrendezést: a NAS RADIUS-attribútumokban hordozza az EAP-csomagokat, és nem kell módszerspecifikus kód minden EAP-típushoz. Ezért az átjáró támogathatja a PEAP-et és az EAP-TLS-t anélkül, hogy bármelyiket megvalósítaná.

Az átjáró, amely jelszót küld, nem hordoz PEAP-et, még ha a háttérrendszer elfogadna is PEAP-et egy másik ügyféltől. A PEAP engedélyezése a kiszolgálói házirendben nem ad módszert olyan ügyfélnek, amely soha nem kínált egyet.

A PPP-hitelesítési beállítások a PPP-szolgáltatáshoz tartoznak. Nem konfigurálják át csendben az ugyanazt az AAA-kiszolgálót használó IPsec- vagy régi XAuth-útvonalakat, ezért az egyik hozzáféréstípusnál működő változtatás a másikat érintetlenül hagyhatja.

Mit kell támogatnia a NAS-nak

Az áteresztés a követelményt a módszerkódtól a hordozótámogatás felé mozgatja. Az átjárónak EAP-t kell tudnia hordozni a VPN-protokollján, a rajta futó RADIUS-ügyfélnek pedig az adott méretű EAP-Message attribútumokat küldenie és fogadnia.

Az IKEv2 esetében az EAP egy meghatározott hitelesítési folyamat része, és a kiszolgáló identitás- és bizalmi ellenőrzései abból a folyamatból származnak. A 802.1X-telepítésből kölcsönzött PEAP-címke nem öröklődik automatikusan, mert a körülötte folyó egyeztetés más.

Az ügyféloldalnak is vannak követelményei. Be kell lennie állítva a módszerhez, bíznia kell a módszer által bemutatott kiszolgálói tanúsítványban, és rendelkeznie kell a módszer által használható hitelesítő adatokkal. Az ügyféltanúsítvány nélküli tanúsítványalapú módszer még az előtt meghiúsul, hogy a RADIUS bármit látna, ami telepítési probléma, nem kiszolgálói házirend.

Olvasson el egy kísérletet a házirend módosítása előtt

Rögzítsen egy jóváhagyott kísérletet az átjárón és a hitelesítő kiszolgálón. Keressen EAP-Message attribútumokat a RADIUS-kérésben. Jelenlétük azt jelzi, hogy az áteresztő útvonal van használatban; hiányuk hitelesítőadat-cserére utal.

Linux-átjárón a RADIUS-porton készült rögzítés megmutatja, mely attribútumok vannak a vonalon:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Ezután hasonlítsa össze az elutasítási pontot. Az átjárón bármely RADIUS-csomag előtti hiba azt jelenti, hogy az ügyfél és az átjáró nem értett egyet a módszerben. Az EAP-attribútumokat hordozó RADIUS-elutasítás azt jelenti, hogy a végpontok futtatták a módszert, és egyikük elutasította az eredményt.

Tervezze a migrációt egyetlen végponttól végpontig tartó változtatásként

A módszer megváltoztatása azt jelenti, hogy együtt módosítja az ügyfél konfigurációját, az átjáró hordozótámogatását, a kiszolgáló módszerházirendjét és a hitelesítőadat-tárolót. Ebben a sorrendben tegye, és tartson fenn működő útvonalat, amíg az új be nem bizonyosodik. A csak kiszolgáló oldali változtatás találgatás, és általában elrontja a működő ügyfeleket. Egyetlen tesztidentitáson készítse elő a változtatást, mielőtt a csoporthoz nyúl.

Jegyezze fel a működő kombinációt: VPN-protokoll, EAP-hordozó, partner módszere, kiszolgáló módszere, hitelesítőadat-típus és kiszolgáló identitásellenőrzése.

Tartsa külön az adminisztratív AAA-bejelentkezést a VPN-hitelesítéstől, kivéve ha a feladat kifejezetten mindkettőt tartalmazza. A távoli hozzáférésre szánt változtatás nem veheti el a lehetőséget, hogy kezelje az eszközt, amely lezárja.