Hvers vegna RADIUS sér IP-tölu í stað VPN-notandanafns

strongSwan getur sett IKE-auðkennið í RADIUS User-Name áður en nokkur EAP-skipti eiga sér stað. Ákveðið hver biður um auðkenni reikningsins og tengið svo eina tilraun.

Windows IKEv2-biðlari tengist og RADIUS-beiðnin kemur með tölu þar sem nafn reikningsins ætti að vera. Ekkert hefur mistekist ennþá, og það er einmitt ruglingslegi hlutinn: gáttin greinir frá auðkenninu sem biðlarinn lagði fram á IKE-laginu. Notandanafnið sem bakendinn þinn vill gæti komið úr sérstökum EAP-skiptum sem hafa ekki átt sér stað enn. Ákveðið hver biður um það áður en þið breytið reikningnum.

Tvö auðkenni ferðast í einni tengingu

Tvö nöfn geta birst í einni tengingu. IKE-auðkennið auðkennir jafningjann við uppsetningu göngsins, og eap-radius-viðbótin afritar það fyrst í RADIUS User-Name. EAP-auðkennið er annað gildi, notað til að sannvotta notandann, og það kann að vera aldrei sent ef enginn biður um það.

Þess vegna getur RADIUS-skráin sýnt tölu meðan reikningurinn er til og lykilorðið er rétt. Spurt er við bakendann um rangt lag. RADIUS-eiginleikinn er aðeins flutningurinn fyrir nafnið sem valið var.

Biðjið gáttina um að biðja um EAP-auðkenni

Ein studd uppsetning lætur gáttina biðja um EAP-auðkennið áður en sannvottuninni er skilað til RADIUS. Í hlutanum um fjarsannvottun tengingarinnar skal setja aðferðina á eap-radius og biðja sérstaklega um EAP-auðkennið. Brotinu hér að neðan tilheyrir inni í núverandi tengingarblokki, ekki í eigin skrá. Staðfestið tenginguna og stillingabakendann áður en þið afritið setningafræði frá annarri uppsetningu.

remote {
    auth = eap-radius
    eap_id = %any
}

Með því fær bakendinn auðkennið sem biðlarinn gefur í EAP-skiptunum í stað IKE-tölunnar. Ekkert annað við tenginguna breytist.

Eða látið RADIUS hefja EAP-skiptin

Hin uppsetningin setur fyrsta skrefið á RADIUS-hliðina. Viðbótin getur sent EAP-Start-tilkynningu í stað þess að bíða eftir upphaflegu auðkennissvari, sem gerir þjóninum kleift að stýra skiptunum. Þetta er stilling á viðbótastigi, svo hún hefur áhrif á hverja tengingu sem notar viðbótina.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Veljið eina uppsetningu með RADIUS-aðilanum í stað þess að virkja báðar og vona. Þær lýsa mismunandi vinnuflæðum, og þjónn sem býst við að hefja mun ekki endilega ráða við gátt sem hefur samræðurnar. Skjöl viðbótarinnar lýsa báðum, þar á meðal hvaða auðkenni hvert skref ber.

Fylgið einni tilraun í gegnum báðar skrárnar

Tengið eina tilraun saman í báðum skránum. Fylgist með IKE-auðkenninu, svo hvort EAP-Identity-skipti eiga sér stað, og svo hvaða nafn sannvottunarskrefið fær. Bakendi sem hafnar tölunni fyrir EAP-skiptin getur stöðvað ferlið áður en ætlað auðkenni ykkar sést nokkurn tíma.

journalctl -u strongswan -f

Haldið nákvæmlega því notandanafnsformi sem auðkenniskerfið ætlast til, þar á meðal lénsforskeyti. Búið aldrei til reikning úr gildi í laginu af tölu, og slökkvið aldrei á sannvottun til að uppfylla stefnureglu. EAP-auðkenni er fullyrt nafn, og aðferðin verður samt að sanna það. Skrifið nafnið sem út kemur í prófunarskrána svo næsta tilraun byrji frá þekktu ástandi.

Ef leiðrétta flæðið nær rétta reikningnum og er samt hafnað, eru næstu sönnunargögn EAP-aðferðin og stefna bakendans, ekki auðkennið. Endurtekin endurstilling lykilorðs getur ekki lagað gildi sem valið var á fyrra siðareglulagi.

Tengdir greinar