EAP atau sertifikat klien? Menentukan autentikasi IKEv2

Gateway Anda dapat membuktikan identitasnya sendiri dengan sertifikat sekaligus membuktikan identitas Anda melalui EAP, dan kombinasi itu lazim, bukan bertentangan. Kedua mekanisme menjawab pertanyaan berbeda: apakah titik akhir ini yang saya harapkan, dan apakah pengguna atau perangkat ini diizinkan. Melihat EAP di sebuah profil tidak mematikan validasi server. Membaca profil sebagai satu pengaturan tunggal itulah yang membuat orang mengatur ulang kredensial yang salah.

Tentukan klaim mana yang gagal sebelum menyentuh salah satu objek. Tahap kegagalan memberitahunya, jika Anda membacanya berurutan.

Dua kredensial, dua klaim

Sertifikat server mengikat nama ke kunci, dan klien memeriksa ikatan itu terhadap penyimpanan kepercayaannya. Sertifikat klien mengikat identitas ke kunci, dan gateway memeriksa bahwa sertifikat yang disajikan berantai ke sesuatu yang dipercayainya. EAP membawa pertukaran autentikasi yang isinya bergantung pada metode yang dipilih. Itu tiga struktur dengan masa hidup, pemilik, dan mode kegagalan yang berbeda.

Frasa sandi yang membuka kunci privat bukan kata sandi akun, bahkan ketika kedua permintaan muncul dalam hitungan detik satu sama lain. Yang satu lokal di penyimpanan kunci perangkat, dan yang lain divalidasi oleh server autentikasi di belakang gateway.

EAP adalah wadah, bukan metode

EAP adalah kerangka: gateway dan klien menegosiasikan metode, dan metode menentukan apakah kata sandi, token, pertukaran internal terowongan, atau sertifikat terlibat, seperti yang dijelaskan dokumentasi strongSwan tentang IKEv2. Itulah sebabnya EAP-TLS sama sekali tidak mirip EAP-MSCHAPv2 dari sisi klien, meskipun keduanya muncul sebagai EAP di menu. Profil yang hanya menyebut EAP belum memberi tahu apa yang akan ditanyakan kepada pengguna.

Baca metode dan backend bersama-sama. Backend menentukan format akun, perilaku penguncian, dan apa yang sebenarnya diubah oleh pengaturan ulang kata sandi, dan tidak satu pun dari itu terlihat di profil klien.

Penerapan campuran itu normal

Sertifikat server plus EAP untuk pengguna adalah bentuk yang diterapkan sebagian besar gateway akses jarak jauh, karena memberi klien titik akhir yang dapat diverifikasi dan memberi operator identitas per pengguna di penyimpanan akun pusat. Penerapan dengan sertifikat klien juga ada, biasanya ketika identitas perangkat lebih penting daripada kata sandi. Keduanya sah, dan kesalahannya adalah menganggap yang Anda lihat minggu lalu adalah yang ada di hadapan Anda.

Tanyakan kepada operator metode dan format akun yang terdokumentasi alih-alih menyimpulkannya dari nama bidang di klien.

Memutuskan dari tahap kegagalan

Urutkan pengamatan. Kesalahan kepercayaan sebelum permintaan pengguna mana pun adalah masalah sertifikat server dan tidak ada kata sandi yang memperbaikinya. Permintaan yang diikuti penolakan adalah masalah autentikasi pengguna, dengan metode EAP dan backend sebagai tersangka. Autentikasi yang berhasil lalu diikuti kegagalan child-SA bukan keduanya.

Dua perbedaan lagi penting. Klien yang menolak sertifikat server biasanya melaporkan ketidakcocokan nama atau otoritas tak dikenal, yang merupakan pertanyaan penyimpanan kepercayaan. Gateway yang menolak pengguna sering mencatat metode EAP dan kategori alasan, yang merupakan pertanyaan akun atau kebijakan.

Mengoperasikan kedua model

Untuk sertifikat, pekerjaannya adalah penerbitan, pembaruan, pencabutan, dan penghapusan perangkat yang hilang, dan itu terjadi sesuai jadwal yang Anda kendalikan. Untuk EAP, pekerjaannya adalah siklus hidup akun, dukungan metode di setiap platform klien, dan faktor kedua apa pun yang diminta backend. Tidak ada model yang lebih murah secara abstrak; keduanya membebani tim yang berbeda. Catat mana yang sebenarnya digunakan penerapan Anda, karena skrip dukungan berbeda lebih jauh daripada konfigurasinya.

Pisahkan keduanya dalam catatan Anda. Kedaluwarsa sertifikat menghasilkan kegagalan pada tanggal tertentu, penguncian akun menghasilkan kegagalan setelah perubahan kata sandi, dan ketidakcocokan metode menghasilkan kegagalan hanya pada satu platform.

Setelah identitas diterima

Autentikasi adalah satu gerbang. Asosiasi keamanan anak, pemilih lalu lintas, DNS, dan izin aplikasi itu sendiri adalah gerbang berikutnya, dan masing-masing gagal dengan syaratnya sendiri. Identitas yang diterima tetapi tidak mencapai apa pun bukan masalah autentikasi.

Catat metode, akun atau sertifikat yang digunakan, dan tahap yang gagal. Catatan itu mengubah insiden berikutnya menjadi pencarian, bukan percobaan.