EAP í gegnum VPN-gátt: hver lýkur aðferðinni

Vandamálatilkynningar lýsa misheppnaðri VPN-innskráningu og RADIUS-stefnu sem krefst sterkari aðferðar eins og um sama vandamál sé að ræða, og það er ekki. Gáttin tekur annaðhvort við auðkennum og sendir þau áfram, eða ber EAP-samtal milli biðlarans og sannvottunarþjónsins. Hvort tveggja gerist ræður því hvort breyting á þjónshlið geti lagfært nokkuð. Lestu skiptin áður en þú breytir þjónahópnum.

Tvær sannvottunarleiðir sem líta eins út í atvikaskrá

Á fyrri leiðinni safnar VPN-gáttin notandanafni og lykilorði og sendir RADIUS Access-Request með lykilorðseiginleika. Sannvottunarþjónninn ber það saman við gagnageymslu sína og svarar með samþykki eða höfnun. Biðlarinn keyrir aldrei EAP-aðferð því ekkert bað hann um það.

Á seinni leiðinni keyra biðlarinn og sannvottunarþjónninn EAP-aðferðina frá enda til enda og gáttin sendir EAP-Message-eiginleika á milli þeirra. Gáttin lýkur enn ytri RADIUS-samtalinu, en rökfræði aðferðarinnar býr á báðum endum.

Báðar leiðir framleiða línu í atvikaskrá sem segir að sannvottun hafi mistekist. Aðeins seinni leiðin getur orðið fyrir áhrifum af því hvaða EAP-aðferð þjónninn kýs, og aðeins fyrri af því hvernig gáttin les lykilorðið. Að líta á þær sem skiptanlegar er ástæða þess að teymi eyða degi í að breyta þjónahópum fyrir biðlara sem átti aldrei eftir að tala PEAP.

Hvar aðferðin keyrir í raun

RFC 3579 skilgreinir gegnumstreymis fyrirkomulagið: NAS ber EAP-pakka í RADIUS-eiginleikum og þarf ekki aðferðarsértækan kóða fyrir hverja EAP-tegund. Þess vegna getur gátt stutt PEAP og EAP-TLS án þess að útfæra hvort tveggja.

Gátt sem sendir lykilorð ber ekki PEAP, jafnvel þótt bakendinn myndi samþykkja PEAP frá öðrum biðlara. Að virkja PEAP í stefnu þjónsins bætir ekki aðferð við biðlara sem bauð aldrei neina.

PPP-sannvottunarstillingar tilheyra PPP-þjónustunni. Þær endurstilla ekki hljóðlega hverja IPsec- eða gamla XAuth-leið sem notar sama AAA-þjón, svo breyting sem virkar fyrir eina aðgangstegund getur látið hina ósnerta.

Hvað NAS verður að styðja

Gegnumstreymi færir kröfuna frá aðferðarkóða yfir í stuðning við burðinn. Gáttin verður að geta borið EAP yfir VPN-samskiptareglur sínar og RADIUS-biðlarinn á henni að geta sent og tekið við EAP-Message-eiginleikum af þeim stærðum sem um ræðir.

Fyrir IKEv2 er EAP hluti af skilgreindu sannvottunarflæði og auðkennis- og traustsathuganir þjónsins koma frá því flæði. PEAP-merkimiði að láni frá 802.1X-uppsetningu flyst ekki sjálfkrafa því samningaviðræðurnar í kringum hann eru aðrar.

Biðlarahliðin hefur líka kröfur. Hún verður að vera stillt fyrir aðferðina, treysta þjónaskírteini sem aðferðin leggur fram og hafa auðkenni sem aðferðin getur notað. Skírteinisbundin aðferð án biðlaraskírteinis mistekst áður en RADIUS sér nokkuð, og það er úthlutunarvandamál en ekki stefna þjónsins.

Lestu eina tilraun áður en þú breytir stefnu

Fangaðu eina samþykkta tilraun í gáttinni og hjá sannvottunarþjóninum. Leitaðu að EAP-Message-eiginleikum í RADIUS-beiðninni. Viðvera þeirra segir að gegnumstreymisleiðin sé í notkun; fjarvera þeirra bendir til auðkennaskipta.

Á Linux-gátt sýnir upptaka á RADIUS-gáttinni hvaða eiginleikar eru á vírnum:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Berðu svo saman höfnunarpunktinn. Bilun í gáttinni fyrir hvaða RADIUS-pakka sem er þýðir að biðlarinn og gáttin voru ósammála um aðferðina. RADIUS-höfnun með EAP-eiginleikum þýðir að endarnir keyrðu aðferðina og annar þeirra hafnaði niðurstöðunni.

Skipuleggðu flutninginn sem eina breytingu frá enda til enda

Að skipta um aðferð þýðir að breyta samtímis stillingum biðlarans, burðarstuðningi gáttarinnar, aðferðarstefnu þjónsins og auðkennageymslunni. Gerðu það í þessari röð og haltu virkri leið þar til hin nýja er sönnuð. Breyting eingöngu á þjónshlið er ágiskun og brýtur venjulega biðlarana sem virkuðu. Undirbúðu breytinguna á einni prófunarauðkennu áður en þú snertir hópinn.

Skráðu samsetninguna sem virkar: VPN-samskiptareglur, EAP-burður, aðferð mótaðila, aðferð þjóns, tegund auðkennis og auðkennaathugun þjónsins.

Haltu stjórnunarskráningu AAA aðskilinni frá VPN-sannvottun nema verkefnið feli skýrlega í sér bæði. Breyting sem ætluð er fyrir fjartengingu ætti ekki að taka frá þér getuna til að stjórna tækinu sem lýkur henni.