Miért lát a RADIUS IP-címet a VPN-felhasználónév helyett

A strongSwan az EAP-csere előtt beírhatja az IKE-identitást a RADIUS User-Name mezőbe. Döntse el, ki kéri a fiók identitását, majd korreláljon egy kísérletet.

Egy Windows IKEv2 kliens csatlakozik, és a RADIUS-kérés olyan címmel érkezik, ahol a fióknévnek kellene lennie. Még semmi sem hibázott, és éppen ez a zavaró: az átjáró azt az identitást jelenti, amelyet a kliens az IKE-rétegen bemutatott. A háttérrendszer által kért felhasználónév egy külön EAP-cseréből származhat, amely még nem történt meg. Döntse el, ki kéri, mielőtt módosítja a fiókot.

Két identitás utazik egy kapcsolatban

Egy kapcsolatban két név is megjelenhet. Az IKE-identitás a partner azonosítja az alagút beállításakor, és az eap-radius bővítmény először átmásolja a RADIUS User-Name mezőbe. Az EAP-identitás más érték, a felhasználó hitelesítésére szolgál, és lehet, hogy soha nem küldik el, ha senki sem kéri.

Ezért mutathat a RADIUS-napló címet, miközben a fiók létezik és a jelszó helyes. A háttérrendszert a rossz rétegről kérdezik. A RADIUS-attribútum csak a kiválasztott név szállítója.

Kérje meg az átjárót, hogy kérjen EAP-identitást

Egy támogatott elrendezésben az átjáró az EAP-identitást kéri, mielőtt a hitelesítést átadja a RADIUS-nak. A kapcsolat távoli hitelesítési szakaszában állítsa a módszert eap-radius értékre, és kifejezetten kérje az EAP-identitást. Az alábbi részlet egy meglévő kapcsolatblokkon belülre tartozik, nem külön fájlba. Megerősítse a kapcsolatot és a konfiguráció háttérrendszerét, mielőtt más telepítésből másol szintaxist.

remote {
    auth = eap-radius
    eap_id = %any
}

Ezzel a háttérrendszer az IKE-cím helyett azt az identitást kapja, amelyet a kliens az EAP-cserében ad. A kapcsolatban semmi más nem változik.

Vagy hagyja, hogy a RADIUS indítsa az EAP-cserét

A másik elrendezés az első lépést a RADIUS oldalára teszi. A bővítmény EAP-Start jelzést küldhet a kezdeti identitásválasz helyett, ami lehetővé teszi, hogy a kiszolgáló vezesse a cserét. Ez bővítményszintű konfiguráció, ezért minden kapcsolatra hat, amely a bővítményt használja.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Válasszon egy elrendezést a RADIUS-üzemeltetővel, ahelyett hogy mindkettőt engedélyezné és reménykedne. Különböző munkafolyamatokat írnak le, és a kezdést váró kiszolgáló nem feltétlenül boldogul a beszélgetést indító átjáróval. A bővítmény dokumentációja mindkettőt leírja, beleértve azt is, melyik lépés melyik identitást hordozza.

Kövessen egy kísérletet mindkét naplóban

Korreláljon egyetlen kísérletet mindkét naplóban. Nézze meg az IKE-identitást, majd hogy történik-e EAP-Identity csere, majd hogy milyen nevet kap a hitelesítési lépés. Egy háttérrendszer, amely az EAP-csere előtt elutasítja a címet, leállíthatja a folyamatot, mielőtt a szándékolt identitás egyáltalán láthatóvá válik.

journalctl -u strongswan -f

Tartsa meg a pontosan azt a felhasználónévformátumot, amelyet az identitásrendszer elvár, a tartomány-előtaggal együtt. Soha ne találjon ki fiókot címszerű értékből, és soha ne kapcsolja ki a hitelesítést egy szabályzat betartása érdekében. Az EAP-identitás egy állított név, és a módszernek még bizonyítania kell. Írja be a kapott nevet a tesztrekordba, hogy a következő kísérlet ismert állapotból induljon.

Ha a javított folyamat eléri a megfelelő fiókot, és mégis elutasítják, a következő bizonyíték az EAP-módszer és a háttérrendszer szabályzata, nem az identitás. A jelszó-visszaállítás ismétlése nem tudja kijavítani a korábbi protokollrétegen választott értéket.

Kapcsolódó cikkek