eapol_test VPN-en át: kell a RADIUS-cseréhez a 2. réteg?

Kérjen laboratóriumi switch-portot, hogy futtathassa a eapol_test — és valószínűleg félreértette az eszközt. A peer és a RADIUS-kliens is abban az egyetlen binárisban él, így az egyetlen beszélgetés, amely elhagyja a gépet, maga a RADIUS-csere. A tesztgazda és a hitelesítési kiszolgáló közötti route-olt alagút a teljes hálózati követelmény. A fizikai 802.1X-útvonal más dolog, amelyet talán még tesztelnie kell, és nem ez.

Miért küldi az embereket a név switch-portot keresni

Az EAPOL az a keretformátum, amelyet egy supplicant és egy switch használ egy LAN-on, és az eszköz onnan kölcsönzi a nevet, hogy abból a világból nőtt ki. Azt adják ki, ami egy tesztprogram, amely a peer állapotgépét és a RADIUS-klienst egy folyamatban hordozza, így egy 802.1X-beszélgetés két fele soha nem találkozik kábelen. A név történelem, nem topológiai követelmény.

Az emberek még mindig a portot kérik, mert a program egy authenticator viselkedésén alapul, és az hardvernek hangzik. A ragasztója újraalkotja az authenticator állapotgépét, így egy teszt a helyiségben lévő hozzáférési pont nélkül is lezárul; a lefordított bináris összekapcsolja a wpa_supplicant EAP-peerjét a hostapd RADIUS-kliensével. A switch eltávolítása az EAPOL-ugrást távolítja el, nem a hitelesítési logikát. Ami marad, az ügyfél-kiszolgáló csere két IP-gazda között.

Kövessen végig egy RADIUS-cserét ugrásról ugrásra

Kövessen egyetlen kísérletet, és az útvonal rövid. A eapol_test belsejében lévő peer EAP-Response-t állít elő a beállított metódushoz, és az ugyanabban a folyamatban lévő RADIUS-kliens beteszi egy Access-Requestbe, a hasznos terhet EAP-Message attribútumokban hordozva egy Message-Authenticator mellett. Ezt a datagramot a kiszolgálónak címezik az UDP 1812-es porton, és úgy hagyja el a gazdát, mint bármely más IP-csomag, és itt jön be az alagút. A kiszolgáló a szabályzata és metódusmoduljai szerint értékeli, majd Access-Challenge, Access-Accept vagy Access-Reject válasszal felel.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

A bináris a kiszolgáló címét, a portot és a megosztott titkot a parancssorból veszi, a metódust és a hitelesítő adatokat pedig egy wpa_supplicant stílusú konfigurációs blokkból. Ebben a hívásban semmi sem függ a 2. réteg szomszédságától: -a route-olással érhető el, és elég egy VPN, amely route-olja. Ha az alagút eldobja a datagramot, a teszt pontosan úgy elbukik, mint egy elérhetetlen kiszolgálóval szemben egy lapos LAN-on.

A bináris és a kiszolgáló szabályzata különböző listák

Két független lista dönti el, hogy egy metódus átmehet-e, és összekeverésük egy napot visz el. Az első lista a binárisba van fordítva: a build-konfiguráció választja ki, mely EAP-metódusok léteznek, így egy metódus nélküli build nem tud róla tárgyalni, bármit is engedélyez a kiszolgáló. A második lista a kiszolgálón él, ahol a szabályzat megmondja, a támogatott metódusok közül melyeket használhat ez az ügyfélosztály. Az átjutáshoz metszet kell, és egyik lista sem töltheti ki a másik hiányát.

Ellenőrizze azt az első listát, mielőtt a kiszolgálót hibáztatja. Keresse a metódus nevét a telepített binárisban, vagy olvassa el a build-konfigurációt, amelyből származik. Ha a metódus hiányzik, építse újra ahelyett, hogy a RADIUS-szabályzatot szerkesztené; ha jelen van és a csere továbbra is elbukik, a probléma a hitelesítő adatokra, a szabályzatra vagy a tanúsítvány bizalmára tolódott.

Mit még mindig nem fed le egy átjutás

Egy sikeres futás egy metódust bizonyít, egy hitelesítőadat-készlethez, egy RADIUS-szabályzattal szemben, egy hálózati útvonalon. Nem gyakorolja a hozzáférési pont rádióját, egy switch EAPOL-kezelését, a hitelesítés utáni VLAN-kiosztást, sem azt, ahogyan egy VPN-koncentrátor ugyanabba a kiszolgálóba integrálódik. Ezek az összetevők soha nem voltak a tesztelt útvonalon. Kezelje az eredményt korlátozott bizonyítékként, és mondja meg, melyik határt fedi le, amikor jelentést ad róla.

A hasznos feljegyzés az, amit a kiszolgáló és a folyamat külön-külön megfigyelt: melyik metódust tárgyalták, hol állt meg a csere, és mit naplózott a kiszolgáló. Tartsa a megosztott titkokat és a privát kulcsokat azon a feljegyzésen kívül.

Ellenőrzőlista, mielőtt idézi az eredményt

Mielőtt bárki jóváhagyásként kezelné a kimenetet, erősítsen meg négy dolgot. A build tartalmazza a tesztelt metódust, a RADIUS-végpont és a megosztott titok a tesztelt környezethez tartozik, a kiszolgáló szabályzata elfogadja ezt a tesztidentitást, és a hálózati útvonal ugyanolyan osztályú, mint amit az éles ügyfelek használnak. Utána nevezze meg, mit nem érintett a futás: a hozzáférési pont, a switch, a VLAN és a koncentrátor-integráció mindegyike saját sort igényel a teszttervben.

Két teszt két tulajdonossal legyőzi az egyetlen kétértelmű jóváhagyást. A eapol_test futás a metódus és a kiszolgáló kérdésére válaszol; a hozzáférési szolgáltatás a kikényszerítés kérdésére.