EAP, թե՞ հաճախորդի վկայականներ. IKEv2 նույնականացման որոշում

Ձեր դարպասը կարող է ապացուցել իր ինքնությունը վկայականով՝ միաժամանակ ապացուցելով ձերը EAP-ի միջոցով, և այդ համակցությունը սովորական է, ոչ հակասական։ Երկու մեխանիզմները պատասխանում են տարբեր հարցերի՝ արդյոք այս վերջնակետը այն է, ինչ սպասում եմ, և արդյոք այս օգտատերը կամ սարքը թույլատրված է։ Պրոֆիլում EAP տեսնելը չի անջատում սերվերի վավերացումը։ Պրոֆիլը որպես մեկ կարգավորում կարդալն է, որ մարդկանց ուղարկում է վերականգնելու սխալ հավատարմագիրը։

Որոշեք, թե որ պնդումն է ձախողվել, նախքան երկու օբյեկտներից որևէ մեկին դիպչելը։ Ձախողման փուլը ձեզ դա կասի, եթե հերթականությամբ կարդաք։

Երկու հավատարմագիր, երկու պնդում

Սերվերի վկայականը անունը կապում է բանալու հետ, և հաճախորդը ստուգում է այդ կապը իր վստահության պահոցի դեմ։ Հաճախորդի վկայականը ինքնությունը կապում է բանալու հետ, և դարպասը ստուգում է, թե ներկայացված վկայականը շղթայվում է ինչ-որ բանի, ինչին ինքը վստահում է։ EAP-ը կրում է նույնականացման փոխանակում, որի բովանդակությունը կախված է ընտրված մեթոդից։ Դրանք երեք կառույցներ են՝ տարբեր կյանքի տևողությամբ, տարբեր սեփականատերերով և տարբեր ձախողման եղանակներով։

Անձնական բանալին բացող գաղտնաբառը հաշվի գաղտնաբառ չէ, նույնիսկ երբ երկու հուշումները հայտնվում են միմյանցից վայրկյանների ընթացքում։ Մեկը տեղային է սարքի բանալիների պահոցում, իսկ մյուսը վավերացնում է դարպասի հետևում գտնվող նույնականացման սերվերը։

EAP-ը տարա է, ոչ մեթոդ

EAP-ը շրջանակ է․ դարպասը և հաճախորդը բանակցում են մեթոդի շուրջ, և մեթոդը որոշում է՝ ներգրավված են գաղտնաբառ, թոքեն, թունելավորված ներքին փոխանակում թե վկայական, ինչպես բացատրում է strongSwan-ի IKEv2 փաստաթղթավորումը։ Այդ պատճառով EAP-TLS-ը հաճախորդի կողմից բոլորովին նման չէ EAP-MSCHAPv2-ին, թեև երկուսն էլ մենյուում հայտնվում են որպես EAP։ Պրոֆիլը, որը նշում է միայն EAP, ձեզ չի ասել, թե ինչ կհարցնեն օգտատիրոջից։

Կարդացեք մեթոդը և backend-ը միասին։ Backend-ը որոշում է հաշվի ձևաչափը, արգելափակման վարքը և այն, թե ինչ է իրականում փոխում գաղտնաբառի վերականգնումը, և դրանից ոչինչ տեսանելի չէ հաճախորդի պրոֆիլում։

Խառը տեղակայումը նորմալ է

Սերվերի վկայական գումարած EAP օգտատիրոջ համար այն ձևն է, որը տեղակայում են հեռավոր մուտքի դարպասների մեծ մասը, քանի որ այն հաճախորդին տալիս է ստուգելի վերջնակետ, իսկ օպերատորին՝ յուրաքանչյուր օգտատիրոջ ինքնություն կենտրոնական հաշվային պահոցում։ Գոյություն ունեն նաև հաճախորդի վկայականներով տեղակայումներ, սովորաբար այնտեղ, որտեղ սարքի ինքնությունը ավելի կարևոր է, քան գաղտնաբառը։ Երկուսն էլ օրինական են, և սխալը ենթադրելն է, թե անցյալ շաբաթ տեսածը հենց այն է, ինչ ձեր առջև է։

Հարցրեք օպերատորին փաստաթղթավորված մեթոդի և հաշվի ձևաչափի մասին՝ դրանք հաճախորդի դաշտերի անուններից ենթադրելու փոխարեն։

Որոշում ձախողման փուլից

Դասավորեք դիտարկումները։ Ցանկացած օգտատիրոջ հուշումից առաջ վստահության սխալը սերվերի վկայականի խնդիր է, և ոչ մի գաղտնաբառ այն չի ուղղի։ Հուշումին հաջորդող մերժումը օգտատիրոջ նույնականացման խնդիր է՝ EAP մեթոդը և backend-ը որպես կասկածյալներ։ Հաջող նույնականացմանը հաջորդող child-SA ձախողումը ոչ մեկն է, ոչ մյուսը։

Կարևոր են ևս երկու տարբերություններ։ Սերվերի վկայականը մերժող հաճախորդը սովորաբար հաղորդում է անվան անհամապատասխանության կամ անհայտ մարմնի մասին, ինչը վստահության պահոցի հարց է։ Օգտատիրոջը մերժող դարպասը հաճախ գրանցում է EAP մեթոդը և պատճառի կատեգորիան, ինչը հաշվի կամ քաղաքականության հարց է։

Երկու մոդելների շահագործում

Վկայականների դեպքում աշխատանքը թողարկումն է, թարմացումը, չեղարկումը և կորած սարքերի հեռացումը, և այն տեղի է ունենում ձեր վերահսկած ժամանակացույցով։ EAP-ի դեպքում աշխատանքը հաշվի կյանքի ցիկլն է, մեթոդների աջակցությունը յուրաքանչյուր հաճախորդի հարթակում և ցանկացած երկրորդ գործոն, որը պահանջում է backend-ը։ Ոչ մի մոդել վերացականորեն ավելի էժան չէ․ դրանք ծանրաբեռնում են տարբեր թիմեր։ Գրեք, թե ձեր տեղակայումն իրականում որն է օգտագործում, քանի որ աջակցության սկրիպտները տարբերվում են ավելի, քան կազմաձևը։

Պահեք դրանք առանձին ձեր նշումներում։ Վկայականի ժամկետի ավարտը ձախողում է առաջացնում որոշակի ամսաթվին, հաշվի արգելափակումը ձախողում է առաջացնում գաղտնաբառի փոփոխությունից հետո, իսկ մեթոդի անհամապատասխանությունը ձախողում է առաջացնում միայն մեկ հարթակում։

Այն բանից հետո, երբ ինքնությունը ընդունվում է

Նույնականացումը մեկ դարպաս է։ Ենթակա անվտանգության ասոցիացիան, տրաֆիկի ընտրիչները, DNS-ը և հավելվածի սեփական թույլտվությունները ավելի ուշ դարպասներ են, և յուրաքանչյուրը ձախողվում է իր պայմաններով։ Ընդունված ինքնությունը, որը ոչ մի տեղ չի հասնում, նույնականացման խնդիր չէ։

Գրանցեք մեթոդը, օգտագործված հաշիվը կամ վկայականը և ձախողված փուլը։ Այդ նշումը հաջորդ միջադեպը դարձնում է որոնում՝ փորձի փոխարեն։