Mengapa RADIUS Melihat Alamat IP alih-alih Nama Pengguna VPN

strongSwan dapat menaruh identitas IKE ke RADIUS User-Name sebelum pertukaran EAP apa pun. Tentukan siapa yang meminta identitas akun, lalu korelasikan satu percobaan.

Klien Windows IKEv2 terhubung, dan permintaan RADIUS datang dengan alamat di tempat yang seharusnya berisi nama akun. Belum ada yang gagal, dan itulah bagian yang membingungkan: gateway melaporkan identitas yang disajikan klien pada lapisan IKE. Nama pengguna yang diinginkan backend Anda mungkin berasal dari pertukaran EAP terpisah yang belum terjadi. Tentukan siapa yang memintanya sebelum mengubah akun.

Dua identitas melakukan perjalanan dalam satu koneksi

Dua nama dapat muncul dalam satu koneksi. Identitas IKE mengidentifikasi peer selama penyiapan tunnel, dan plugin eap-radius awalnya menyalinnya ke RADIUS User-Name. Identitas EAP adalah nilai berbeda, dipakai untuk autentikasi pengguna, dan mungkin tidak pernah dikirim jika tidak ada yang memintanya.

Itulah sebabnya log RADIUS dapat menampilkan alamat sementara akun ada dan kata sandi benar. Backend ditanya tentang lapisan yang salah. Atribut RADIUS hanyalah transportasi bagi nama yang dipilih.

Minta gateway meminta identitas EAP

Satu pengaturan yang didukung membuat gateway meminta identitas EAP sebelum menyerahkan autentikasi ke RADIUS. Di bagian autentikasi jarak jauh pada koneksi, setel metode ke eap-radius dan minta identitas EAP secara eksplisit. Fragmen di bawah termasuk di dalam blok koneksi yang sudah ada, bukan di berkas tersendiri. Pastikan koneksi dan backend konfigurasi sebelum menyalin sintaks dari penerapan lain.

remote {
    auth = eap-radius
    eap_id = %any
}

Dengan itu, backend menerima identitas yang diberikan klien dalam pertukaran EAP alih-alih alamat IKE. Tidak ada hal lain pada koneksi yang berubah.

Atau biarkan RADIUS memulai pertukaran EAP

Pengaturan lain menaruh langkah pertama di sisi RADIUS. Plugin dapat mengirim indikasi EAP-Start alih-alih menunggu respons identitas awal, yang memungkinkan server memandu pertukaran. Itu konfigurasi tingkat plugin, jadi memengaruhi setiap koneksi yang memakai plugin.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Pilih satu pengaturan bersama operator RADIUS alih-alih mengaktifkan keduanya dan berharap. Keduanya menjelaskan alur kerja berbeda, dan server yang mengharapkan diri memulai belum tentu menangani gateway yang memulai percakapan. Dokumentasi plugin menjelaskan keduanya, termasuk identitas apa yang dibawa tiap langkah.

Ikuti satu percobaan di kedua log

Korelasikan satu percobaan di kedua log. Amati identitas IKE, lalu apakah terjadi pertukaran EAP-Identity, lalu nama apa yang diterima langkah autentikasi. Backend yang menolak alamat sebelum pertukaran EAP dapat menghentikan proses sebelum identitas yang Anda maksud pernah terlihat.

journalctl -u strongswan -f

Pertahankan format nama pengguna persis yang diharapkan sistem identitas, termasuk prefiks domain. Jangan pernah mengarang akun dari nilai berbentuk alamat, dan jangan pernah mematikan autentikasi untuk memenuhi aturan kebijakan. Identitas EAP adalah nama yang dinyatakan, dan metode tetap harus membuktikannya. Tulis nama yang dihasilkan ke catatan uji agar percobaan berikutnya dimulai dari keadaan yang diketahui.

Jika alur yang diperbaiki mencapai akun yang benar dan tetap ditolak, bukti berikutnya adalah metode EAP dan kebijakan backend, bukan identitas. Mengulang pengaturan ulang kata sandi tidak dapat memperbaiki nilai yang dipilih pada lapisan protokol sebelumnya.

Artikel terkait