EAP melalui gateway VPN: siapa yang mengakhiri metode

Tiket dukungan menggambarkan login VPN yang gagal dan kebijakan RADIUS yang menuntut metode lebih kuat seolah keduanya masalah yang sama, padahal bukan. Gateway menerima kredensial lalu meneruskannya, atau membawa percakapan EAP antara klien dan server autentikasi. Mana yang terjadi menentukan apakah perubahan di sisi server dapat memperbaiki sesuatu. Baca pertukarannya sebelum menyunting grup server.

Dua jalur autentikasi yang tampak sama di log

Pada jalur pertama, gateway VPN mengumpulkan nama pengguna dan kata sandi lalu mengirim RADIUS Access-Request dengan atribut kata sandi. Server autentikasi membandingkannya dengan penyimpanannya dan menjawab terima atau tolak. Klien tidak pernah menjalankan metode EAP karena tidak ada yang memintanya.

Pada jalur kedua, klien dan server autentikasi menjalankan metode EAP dari ujung ke ujung, dan gateway meneruskan atribut EAP-Message di antara keduanya. Gateway tetap mengakhiri percakapan RADIUS luar, tetapi logika metode berada di kedua ujung.

Kedua jalur menghasilkan baris di log yang menyatakan autentikasi gagal. Hanya jalur kedua dapat dipengaruhi metode EAP yang disukai server, dan hanya jalur pertama dipengaruhi cara gateway membaca kata sandi. Memperlakukannya sebagai setara adalah cara tim menghabiskan sehari mengubah grup server untuk klien yang tidak akan pernah berbicara PEAP.

Di mana metode sebenarnya berjalan

RFC 3579 mendefinisikan pengaturan penerusan: NAS membawa paket EAP dalam atribut RADIUS dan tidak memerlukan kode khusus metode untuk setiap tipe EAP. Karena itu gateway dapat mendukung PEAP dan EAP-TLS tanpa mengimplementasikan keduanya.

Gateway yang mengirim kata sandi tidak membawa PEAP, meskipun backend akan menerima PEAP dari klien lain. Mengaktifkan PEAP dalam kebijakan server tidak menambahkan metode kepada klien yang tidak pernah menawarkannya.

Pengaturan autentikasi PPP milik layanan PPP. Pengaturan itu tidak mengonfigurasi ulang secara diam-diam setiap jalur IPsec atau XAuth lama yang memakai server AAA yang sama, sehingga perubahan yang berhasil untuk satu jenis akses dapat membiarkan yang lain tak tersentuh.

Apa yang harus didukung NAS

Penerusan memindahkan syarat dari kode metode ke dukungan pembawa. Gateway harus dapat membawa EAP melalui protokol VPN-nya, dan klien RADIUS di atasnya harus dapat mengirim dan menerima atribut EAP-Message dengan ukuran terkait.

Untuk IKEv2, EAP adalah bagian dari alur autentikasi yang ditetapkan, dan pemeriksaan identitas serta kepercayaan server berasal dari alur itu. Label PEAP yang dipinjam dari penerapan 802.1X tidak berpindah otomatis karena negosiasi di sekitarnya berbeda.

Sisi klien juga punya syarat. Klien harus dikonfigurasi untuk metode itu, memercayai sertifikat server yang disajikan metode, dan memiliki kredensial yang dapat dipakai metode. Metode berbasis sertifikat tanpa sertifikat klien gagal sebelum RADIUS melihat apa pun, dan itu masalah penyediaan, bukan kebijakan server.

Baca satu percobaan sebelum mengubah kebijakan

Tangkap satu percobaan yang disetujui di gateway dan di server autentikasi. Cari atribut EAP-Message dalam permintaan RADIUS. Kehadirannya menunjukkan jalur penerusan dipakai; ketiadaannya menunjuk ke pertukaran kredensial.

Di gateway Linux, tangkapan pada port RADIUS menunjukkan atribut mana yang ada di kabel:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Lalu bandingkan titik penolakan. Kegagalan di gateway sebelum paket RADIUS mana pun berarti klien dan gateway tidak sepakat soal metode. Penolakan RADIUS yang membawa atribut EAP berarti kedua ujung menjalankan metode dan salah satunya menolak hasilnya.

Rencanakan migrasi sebagai satu perubahan ujung ke ujung

Mengganti metode berarti mengubah bersama konfigurasi klien, dukungan pembawa di gateway, kebijakan metode di server, dan penyimpanan kredensial. Lakukan dalam urutan itu dan pertahankan jalur yang berfungsi sampai yang baru terbukti. Perubahan hanya di sisi server adalah dugaan dan biasanya merusak klien yang tadinya berfungsi. Siapkan perubahan pada satu identitas uji sebelum menyentuh grup.

Catat kombinasi yang berhasil: protokol VPN, pembawa EAP, metode rekan, metode server, jenis kredensial, dan pemeriksaan identitas server.

Pisahkan AAA login administratif dari autentikasi VPN kecuali tugas secara eksplisit mencakup keduanya. Perubahan untuk akses jarak jauh tidak boleh menghilangkan kemampuan Anda mengelola perangkat yang mengakhirinya.