EAP-ը VPN դարպասով. ով է ավարտում մեթոդը

Աջակցության տոմսերը նկարագրում են ձախողված VPN մուտք և RADIUS քաղաքականություն, որը պահանջում է ավելի ուժեղ մեթոդ, կարծես դա նույն խնդիրն է, բայց այդպես չէ: Դարպասը կամ ընդունում է հավատարմագրերը և փոխանցում, կամ EAP զրույց է տանում հաճախորդի և նույնականացման սերվերի միջև: Թե դրանցից որն է տեղի ունենում, որոշում է՝ արդյոք սերվերի կողմի փոփոխությունը կարող է ինչ-որ բան ուղղել: Կարդացեք փոխանակումը նախքան սերվերի խումբը խմբագրելը:

Նույնականացման երկու ուղի, որոնք մատյանում նույնն են թվում

Առաջին ուղում VPN դարպասը հավաքում է օգտանուն և գաղտնաբառ և ուղարկում RADIUS Access-Request՝ գաղտնաբառի ատրիբուտով: Նույնականացման սերվերը համեմատում է այն իր պահոցի հետ և պատասխանում ընդունում կամ մերժում: Հաճախորդը երբեք չի կատարում EAP մեթոդ, որովհետև ոչինչ դա չի պահանջել:

Երկրորդ ուղում հաճախորդը և նույնականացման սերվերը կատարում են EAP մեթոդը սկզբից մինչև վերջ, իսկ դարպասը փոխանցում է EAP-Message ատրիբուտները նրանց միջև: Դարպասը դեռ ավարտում է արտաքին RADIUS զրույցը, բայց մեթոդի տրամաբանությունը ապրում է երկու ծայրերում:

Երկու ուղիներն էլ մատյանում տող են ստեղծում, որ նույնականացումը ձախողվել է: Միայն երկրորդի վրա կարող է ազդել այն, թե որ EAP մեթոդն է սերվերը նախընտրում, և միայն առաջինի վրա՝ այն, թե ինչպես է դարպասը կարդում գաղտնաբառը: Դրանք փոխարինելի համարելը հենց այն է, ինչի պատճառով թիմերը մեկ օր ծախսում են սերվերի խմբերը փոխելու վրա մի հաճախորդի համար, որը երբեք PEAP չէր խոսելու:

Որտեղ է մեթոդն իրականում աշխատում

RFC 3579 փաստաթուղթը սահմանում է անցկացման կարգը. NAS-ը EAP փաթեթները տանում է RADIUS ատրիբուտներով և կարիք չունի մեթոդին հատուկ կոդի յուրաքանչյուր EAP տեսակի համար: Այդ պատճառով դարպասը կարող է աջակցել PEAP-ին և EAP-TLS-ին՝ չիրականացնելով դրանցից ոչ մեկը:

Դարպասը, որը գաղտնաբառ է ներկայացնում, PEAP չի տանում, նույնիսկ եթե հետին համակարգը կընդուներ PEAP-ը այլ հաճախորդից: Սերվերի քաղաքականության մեջ PEAP-ի միացումը մեթոդ չի ավելացնում հաճախորդին, որը երբեք չի առաջարկել այն:

PPP նույնականացման կարգավորումները պատկանում են PPP ծառայությանը: Դրանք լուռ չեն վերակազմավորում նույն AAA սերվերն օգտագործող յուրաքանչյուր IPsec կամ հին XAuth ուղի, ուստի մեկ մուտքի տեսակի համար աշխատող փոփոխությունը կարող է մյուսը թողնել անձեռնմխելի:

Ինչ պետք է աջակցի NAS-ը

Անցկացումը պահանջը տեղափոխում է մեթոդի կոդից դեպի կրիչի աջակցություն: Դարպասը պետք է կարողանա EAP-ը տանել իր VPN արձանագրությամբ, իսկ դրա վրա գտնվող RADIUS հաճախորդը՝ ուղարկել և ստանալ համապատասխան չափերի EAP-Message ատրիբուտներ:

IKEv2-ի համար EAP-ը սահմանված նույնականացման հոսքի մաս է, և սերվերի ինքնության ու վստահության ստուգումները գալիս են այդ հոսքից: 802.1X տեղաբաշխումից վերցված PEAP պիտակը ինքնաբերաբար չի փոխանցվում, որովհետև դրա շուրջ բանակցությունը տարբեր է:

Հաճախորդի կողմն էլ ունի պահանջներ: Այն պետք է կարգավորված լինի մեթոդի համար, վստահի մեթոդի ներկայացրած սերվերի վկայագրին և ունենա հավատարմագրեր, որոնք մեթոդը կարող է օգտագործել: Առանց հաճախորդի վկայագրի վկայագրային մեթոդը ձախողվում է նախքան RADIUS-ը ինչ-որ բան կտեսնի, ինչը մատակարարման խնդիր է, ոչ թե սերվերի քաղաքականության:

Կարդացեք մեկ փորձ նախքան քաղաքականությունը փոխելը

Գրանցեք մեկ հաստատված փորձ դարպասի և նույնականացման սերվերի վրա: Փնտրեք EAP-Message ատրիբուտներ RADIUS հարցման մեջ: Դրանց առկայությունը ցույց է տալիս, որ օգտագործվում է անցկացման ուղին. բացակայությունը մատնանշում է հավատարմագրերի փոխանակում:

Linux դարպասի վրա RADIUS պորտի գրանցումը ցույց է տալիս, թե որ ատրիբուտներն են լարի վրա:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Այնուհետև համեմատեք մերժման կետը: Դարպասի ձախողումը ցանկացած RADIUS փաթեթից առաջ նշանակում է, որ հաճախորդն ու դարպասը չեն համաձայնել մեթոդի շուրջ: EAP ատրիբուտներ կրող RADIUS մերժումը նշանակում է, որ ծայրերը կատարել են մեթոդը, և նրանցից մեկը մերժել է արդյունքը:

Պլանավորեք միգրացիան որպես մեկ ծայրից ծայր փոփոխություն

Մեթոդը փոխելը նշանակում է միասին փոխել հաճախորդի կարգավորումը, դարպասի կրիչի աջակցությունը, սերվերի մեթոդի քաղաքականությունը և հավատարմագրերի պահոցը: Արեք դա այդ հերթականությամբ և պահեք աշխատող ուղի, մինչև նորը ապացուցվի: Միայն սերվերի կողմի փոփոխությունը ենթադրություն է և սովորաբար կոտրում է աշխատող հաճախորդներին: Նախապատրաստեք փոփոխությունը մեկ փորձնական ինքնության վրա նախքան խմբին դիպչելը:

Գրանցեք աշխատող համակցությունը. VPN արձանագրություն, EAP կրիչ, գործընկերոջ մեթոդ, սերվերի մեթոդ, հավատարմագրի տեսակ և սերվերի ինքնության ստուգում:

Առանձնացրեք վարչական AAA մուտքը VPN նույնականացումից, եթե առաջադրանքը բացահայտորեն չի ներառում երկուսը: Հեռավոր մուտքի համար նախատեսված փոփոխությունը չպետք է ձեզնից խլի այն սարքը կառավարելու հնարավորությունը, որը այն ավարտում է: