eapol_test lewat VPN: perlukah pertukaran RADIUS lapisan 2?

Minta port switch laboratorium agar Anda bisa menjalankan eapol_test — dan Anda mungkin salah membaca alat ini. Peer dan klien RADIUS keduanya berada di dalam satu biner itu, jadi satu-satunya percakapan yang meninggalkan mesin adalah pertukaran RADIUS itu sendiri. Terowongan ter-rutekan antara host uji dan server autentikasi adalah seluruh persyaratan jaringan. Jalur 802.1X fisik adalah hal lain yang mungkin masih perlu Anda uji, dan bukan ini.

Mengapa namanya membuat orang mencari port switch

EAPOL adalah format bingkai yang dipakai supplicant dan switch di LAN, dan alat ini meminjam namanya karena tumbuh dari dunia itu. Yang dikirim adalah program uji yang membawa mesin status peer dan klien RADIUS dalam satu proses, jadi kedua bagian percakapan 802.1X tidak pernah bertemu lewat kabel. Nama itu sejarah, bukan persyaratan topologi.

Orang masih meminta port karena program ini bersandar pada perilaku autentikator, dan itu terdengar seperti perangkat keras. Lemnya mereproduksi mesin status autentikator, jadi uji selesai tanpa titik akses di ruangan; biner terkompilasi menautkan peer EAP wpa_supplicant dengan klien RADIUS hostapd. Menghapus switch menghapus lompatan EAPOL, bukan logika autentikasi. Yang tersisa adalah pertukaran klien-server antara dua host IP.

Ikuti satu pertukaran RADIUS lompatan demi lompatan

Ikuti satu percobaan dan jalurnya pendek. Peer di dalam eapol_test menghasilkan EAP-Response untuk metode yang Anda konfigurasi, dan klien RADIUS di proses yang sama menaruhnya ke dalam Access-Request, membawa muatan dalam atribut EAP-Message di samping Message-Authenticator. Datagram itu dialamatkan ke server pada port UDP 1812 dan meninggalkan host seperti paket IP lain, dan di situlah terowongan masuk. Server menilainya terhadap kebijakan dan modul metodenya, lalu menjawab dengan Access-Challenge, Access-Accept, atau Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Biner mengambil alamat server, port, dan rahasia bersama dari baris perintah, serta metode dan kredensial dari blok konfigurasi bergaya wpa_supplicant. Tidak ada apa pun dalam pemanggilan itu yang bergantung pada ketetanggaan lapisan 2: -a dicapai lewat perutean, dan VPN yang merutekannya sudah cukup. Jika terowongan menjatuhkan datagram, uji gagal persis seperti terhadap server yang tak terjangkau di LAN datar.

Biner dan kebijakan server adalah daftar yang berbeda

Dua daftar independen menentukan apakah suatu metode bisa lolos, dan mencampuradukkannya menghabiskan satu hari. Daftar pertama dikompilasi ke dalam biner: konfigurasi build memilih metode EAP mana yang ada, jadi build tanpa suatu metode tidak dapat menegosiasikannya apa pun yang diizinkan server. Daftar kedua hidup di server, tempat kebijakan menyatakan metode mana dari yang didukung yang boleh dipakai kelas klien ini. Lolos memerlukan irisan, dan tidak ada daftar yang dapat mengisi celah di daftar lain.

Periksa daftar pertama itu sebelum menyalahkan server. Cari nama metode di biner yang terpasang, atau baca konfigurasi build asalnya. Jika metode tidak ada, bangun ulang daripada menyunting kebijakan RADIUS; jika ada dan pertukaran tetap gagal, masalahnya berpindah ke kredensial, kebijakan, atau kepercayaan sertifikat.

Apa yang masih tidak dicakup oleh lolosnya uji

Jalan yang berhasil membuktikan satu metode, untuk satu set kredensial, terhadap satu kebijakan RADIUS, lewat satu jalur jaringan. Itu tidak melatih radio titik akses, penanganan EAPOL sebuah switch, penetapan VLAN yang menyusul autentikasi, atau cara konsentrator VPN berintegrasi dengan server yang sama. Komponen itu tidak pernah ada di jalur yang diuji. Perlakukan hasilnya sebagai bukti terbatas, dan sebutkan batas mana yang dicakupnya saat Anda melaporkannya.

Catatan yang berguna adalah apa yang diamati server dan proses masing-masing: metode mana yang dinegosiasikan, di mana pertukaran berhenti, dan apa yang dicatat server. Jauhkan rahasia bersama dan kunci privat dari catatan itu.

Daftar periksa sebelum mengutip hasilnya

Sebelum siapa pun memperlakukan keluaran sebagai persetujuan, konfirmasikan empat hal. Build memuat metode yang diuji, titik akhir RADIUS dan rahasia bersama milik lingkungan yang diuji, kebijakan server menerima identitas uji ini, dan jalur jaringan adalah kelas yang sama dengan yang dipakai klien produksi. Lalu sebutkan apa yang tidak disentuh oleh jalan itu: titik akses, switch, VLAN, dan integrasi konsentrator masing-masing perlu barisnya sendiri dalam rencana uji.

Dua uji dengan dua pemilik mengalahkan satu persetujuan ambigu. Jalan eapol_test menjawab pertanyaan metode-dan-server; layanan akses menjawab pertanyaan penegakan.