eapol_test yfir VPN: þarf RADIUS-skiptin lag 2?

Biðjið um rannsóknarstofu-rofa tengi svo þið getið keyrt eapol_test — og þið hafið líklega misskilið tólið. Peerinn og RADIUS-biðlarinn búa báðir inni í þeirri einu tvístæðu skrá, svo eina samtalið sem yfirgefur vélina er RADIUS-skiptin sjálf. Beint göng milli prófunarhýsilsins og auðkenningarþjónsins er öll netkröfan. Efnislega 802.1X-leiðin er annar hlutur sem þið gætuð þurft að prófa enn, og þetta er ekki hún.

Hvers vegna nafnið sendir fólk að leita að rofa tengi

EAPOL er rammaformið sem supplicant og rofi nota á LAN, og tólið fær nafnið að láni því það óx úr þeim heimi. Það sem er sent er prófunarforrit sem ber stöðuvél peerins og RADIUS-biðlarann í einu ferli, svo tveir helmingar 802.1X-samtals hittast aldrei yfir vír. Nafnið er saga, ekki krafa um netlögun.

Fólk biður enn um tengið því forritið hvílir á hegðun auðkenningaraðila, og það hljómar eins og vélbúnaður. Límið endurgerir stöðuvél auðkenningaraðilans, svo prófun lýkur án nokkurs aðgangspunkts í herberginu; samþýdda tvístæðan tengir EAP-peer wpa_supplicant við RADIUS-biðlara hostapd. Að fjarlægja rofann fjarlægir EAPOL-hoppið, ekki auðkenningarlógíkina. Það sem eftir er er biðlara-þjóns skipti milli tveggja IP-hýsla.

Fylgdu einum RADIUS-skiptum hopp fyrir hopp

Fylgdu einni tilraun og leiðin er stutt. Peerinn inni í eapol_test framleiðir EAP-Response fyrir aðferðina sem þið stilltu, og RADIUS-biðlarinn í sama ferli setur hana í Access-Request og ber farminn í EAP-Message-eigindum við hlið Message-Authenticator. Þessu gagnagrammi er beint að þjóninum á UDP-tengi 1812 og það yfirgefur hýsilinn eins og hvaða IP-pakki sem er, og þar kemur göngin inn. Þjónninn metur það gegn stefnu sinni og aðferðaeiningum og svarar svo með Access-Challenge, Access-Accept eða Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Tvístæðan tekur vistfang þjónsins, tengið og sameiginlega leyndarmálið af skipanalínunni, og aðferðina og skírteinin úr stillingarblokk í wpa_supplicant-stíl. Ekkert í þeirri köllun er háð nálægð lags 2: -a er náð með beiningu, og VPN sem beinir því nægir. Ef göngin sleppa gagnagramminu mistekst prófunin nákvæmlega eins og gegn óaðgengilegum þjóni á flötu LAN.

Tvístæðan og stefna þjónsins eru mismunandi listar

Tveir óháðir listar ákvarða hvort aðferð komist í gegn, og að rugla þeim kostar dag. Fyrsti listinn er samþýddur inn í tvístæðuna: byggingarstillingin velur hvaða EAP-aðferðir eru til, svo bygging án aðferðar getur ekki samið um hana hvað sem þjónninn leyfir. Annar listinn býr á þjóninum, þar sem stefna segir hverra studdu aðferðanna þessi biðlaraflokkur má nota. Gegnumferð krefst sniðmengis, og hvorugur listinn getur fyllt skarð í hinum.

Athugið fyrsta listann áður en þið kennið þjóninum um. Leitið að heiti aðferðarinnar í uppsettu tvístæðunni, eða lesið byggingarstillinguna sem hún kom úr. Ef aðferðin vantar, byggið upp á nýtt í stað þess að breyta RADIUS-stefnunni; ef hún er til staðar og skiptin mistakast enn, hefur vandinn flust yfir í skírteini, stefnu eða traust á vottorði.

Hvað gegnumferð nær ekki enn yfir

Árangursrík keyrsla sannar eina aðferð, fyrir eitt skírteinasett, gegn einni RADIUS-stefnu, um eina netleið. Hún þjálfar ekki útvarp aðgangspunktsins, EAPOL-meðferð rofa, VLAN-úthlutunina sem fylgir auðkenningu, né hvernig VPN-miðstöð sameinast sama þjóni. Þessir þættir voru aldrei á prófuðu leiðinni. Meðhöndlið niðurstöðuna sem takmarkaða sönnun og segið hvaða mörk hún nær yfir þegar þið skýrið frá henni.

Gagnleg skráning er það sem þjónninn og ferlið sáu hvort fyrir sig: hvaða aðferð var samin, hvar skiptin stöðvuðust og hvað þjónninn skráði. Haldið sameiginlegum leyndarmálum og einkalyklum utan þeirrar skráningar.

Gátlisti áður en þið vitnið í niðurstöðuna

Áður en einhver meðhöndlar úttakið sem samþykki, staðfestið fjóra hluti. Byggingin inniheldur aðferðina sem er prófuð, RADIUS-endapunkturinn og sameiginlega leyndarmálið tilheyra umhverfinu sem er prófað, stefna þjónsins leyfir þessa prófunarauðkenni, og netleiðin er af sama flokki og leiðin sem framleiðslubiðlarar nota. Nefnið svo hvað keyrslan snerti ekki: aðgangspunktur, rofi, VLAN og miðstöðvarsamþætting þurfa hvert sína línu í prófunaráætluninni.

Tvær prófanir með tvo eigendur vinna á einu óljósu samþykki. Keyrslan með eapol_test svarar spurningunni um aðferð og þjón; aðgangsþjónustan svarar spurningunni um framfylgd.