eapol_test-ը VPN-ի միջոցով. արդյո՞ք RADIUS փոխանակությանը պետք է 2-րդ շերտ

Խնդրեք լաբորատորիայի սվիչի պորտ, որպեսզի գործարկեք eapol_test — և, ամենայն հավանականությամբ, սխալ եք հասկացել գործիքը: Peer-ը և RADIUS հաճախորդը երկուսն էլ ապրում են այդ մեկ բինար ֆայլի ներսում, ուստի մեքենայից դուրս եկող միակ զրույցը հենց RADIUS փոխանակությունն է: Թեստային հոսթի և նույնականացման սերվերի միջև երթուղավորված թունելը ամբողջ ցանցային պահանջն է: Ֆիզիկական 802.1X ուղին այլ բան է, որը գուցե դեռ պետք է փորձարկեք, և սա այն չէ:

Ինչու անունը մարդկանց ուղարկում է սվիչի պորտ փնտրելու

EAPOL-ը այն կադրի ձևաչափն է, որն օգտագործում են supplicant-ը և սվիչը LAN-ում, և գործիքը փոխառել է անունը, որովհետև աճել է այդ աշխարհից: Տրամադրվում է թեստային ծրագիր, որը կրում է peer-ի վիճակի մեքենան և RADIUS հաճախորդը մեկ գործընթացում, ուստի 802.1X զրույցի երկու կեսերը երբեք չեն հանդիպում լարի վրա: Անունը պատմություն է, ոչ թե տոպոլոգիայի պահանջ:

Մարդիկ դեռ պորտ են խնդրում, որովհետև ծրագիրը հենվում է authenticator-ի վարքագծի վրա, և դա հնչում է որպես սարքավորում: Նրա սոսինձը վերարտադրում է authenticator-ի վիճակի մեքենան, ուստի թեստը ավարտվում է առանց սենյակում մուտքի կետի. կոմպիլացված բինարը կապում է wpa_supplicant-ի EAP peer-ը hostapd-ի RADIUS հաճախորդի հետ: Սվիչը հեռացնելը հեռացնում է EAPOL ցատկը, ոչ թե նույնականացման տրամաբանությունը: Մնում է հաճախորդ-սերվեր փոխանակումը երկու IP հոսթերի միջև:

Հետևեք մեկ RADIUS փոխանակության ցատկ առ ցատկ

Հետևեք մեկ փորձի, և ուղին կարճ է: eapol_test ծրագրի ներսում peer-ը ստեղծում է EAP-Response ձեր կարգավորած մեթոդի համար, և նույն գործընթացի RADIUS հաճախորդը դնում է այն Access-Request-ի մեջ՝ բեռը կրելով EAP-Message ատրիբուտներում Message-Authenticator-ի կողքին: Այդ դատագրամը հասցեագրված է սերվերին UDP 1812 պորտով և լքում է հոսթը ինչպես ցանկացած այլ IP փաթեթ, և հենց այստեղ է մտնում թունելը: Սերվերը գնահատում է այն իր քաղաքականությամբ և մեթոդի մոդուլներով, ապա պատասխանում Access-Challenge, Access-Accept կամ Access-Reject-ով:

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Բինարը վերցնում է սերվերի հասցեն, պորտը և ընդհանուր գաղտնիքը հրամանի տողից, իսկ մեթոդը և հավատարմագրերը՝ wpa_supplicant ոճի կարգավորման բլոկից: Այդ կանչում ոչինչ կախված չէ 2-րդ շերտի հարևանությունից. -a հասանելի է երթուղավորման միջոցով, և բավական է VPN, որը երթուղավորում է այն: Եթե թունելը գցում է դատագրամը, թեստը ձախողվում է ճիշտ այնպես, ինչպես անհասանելի սերվերի դեմ հարթ LAN-ում:

Բինարը և սերվերի քաղաքականությունը տարբեր ցանկեր են

Երկու անկախ ցանկ որոշում են՝ մեթոդը կարող է անցնել, և դրանք շփոթելը մեկ օր է խլում: Առաջին ցանկը կոմպիլացված է բինարի մեջ. կառուցման կարգավորումը ընտրում է, թե որ EAP մեթոդներն են գոյություն ունենում, ուստի առանց մեթոդի կառուցումը չի կարող բանակցել դրա շուրջ, ինչ էլ սերվերը թույլատրի: Երկրորդ ցանկը ապրում է սերվերի վրա, որտեղ քաղաքականությունն ասում է, թե աջակցվող մեթոդներից որոնք կարող է օգտագործել այս հաճախորդների դասը: Անցնելու համար հատում է պետք, և ոչ մի ցանկ չի կարող լրացնել մյուսի բացը:

Ստուգեք այդ առաջին ցանկը, նախքան սերվերին մեղադրելը: Փնտրեք մեթոդի անունը տեղադրված բինարում կամ կարդացեք այն կառուցման կարգավորումը, որտեղից այն եկել է: Եթե մեթոդը բացակայում է, վերակառուցեք՝ RADIUS քաղաքականությունը խմբագրելու փոխարեն. եթե այն կա և փոխանակությունը դեռ ձախողվում է, խնդիրը տեղափոխվել է հավատարմագրերին, քաղաքականությանը կամ վկայագրի վստահությանը:

Ինչ դեռ չի ծածկում անցումը

Հաջող գործարկումը ապացուցում է մեկ մեթոդ, մեկ հավատարմագրերի հավաքածուի համար, մեկ RADIUS քաղաքականության դեմ, մեկ ցանցային ուղով: Այն չի վարժեցնում մուտքի կետի ռադիոն, սվիչի EAPOL մշակումը, նույնականացումից հետո եկող VLAN հատկացումը, ոչ էլ այն եղանակը, որով VPN կենտրոնացուցիչը ինտեգրվում է նույն սերվերին: Այդ բաղադրիչները երբեք չեն եղել փորձարկված ուղու վրա: Վերաբերվեք արդյունքին որպես սահմանափակ ապացույց և ասեք, թե որ սահմանն է այն ծածկում, երբ զեկուցում եք:

Օգտակար արձանագրությունը այն է, ինչ սերվերը և գործընթացը յուրաքանչյուրն դիտել են. որ մեթոդը բանակցվեց, որտեղ կանգնեց փոխանակությունը, և ինչ գրանցեց սերվերը: Ընդհանուր գաղտնիքները և մասնավոր բանալիները պահեք այդ արձանագրությունից դուրս:

Ստուգաթերթ նախքան արդյունքը մեջբերելը

Նախքան որևէ մեկը ելքը կընդունի որպես հաստատում, հաստատեք չորս բան: Կառուցումը ներառում է փորձարկվող մեթոդը, RADIUS վերջնակետը և ընդհանուր գաղտնիքը պատկանում են փորձարկվող միջավայրին, սերվերի քաղաքականությունը թույլ է տալիս այս թեստային ինքնությունը, և ցանցային ուղին նույն դասի է, ինչ օգտագործում են արտադրական հաճախորդները: Ապա անվանեք, ինչին գործարկումը չի դիպել. մուտքի կետը, սվիչը, VLAN-ը և կենտրոնացուցիչի ինտեգրումը յուրաքանչյուրն իր տողն է պահանջում թեստային պլանում:

Երկու սեփականատերով երկու թեստ հաղթում են մեկ երկիմաստ հաստատմանը: eapol_test գործարկումը պատասխանում է մեթոդի և սերվերի հարցին. հասանելիության ծառայությունը պատասխանում է կիրառման հարցին: