VPN 経由の eapol_test：RADIUS 交換にレイヤー2は必要か

ラボのスイッチポートを求めてeapol_testを動かそうとするなら、たぶんツールを読み違えています。ピアと RADIUS クライアントはどちらもその単一のバイナリの中にいるので、マシンの外に出る会話は RADIUS 交換そのものだけです。テストホストと認証サーバーの間のルーティングされたトンネルが、ネットワーク要件のすべてです。物理的な 802.1X の経路は別物で、まだ検証が必要かもしれませんが、これはそれではありません。

なぜ名前が人をスイッチポート探しに走らせるのか

EAPOL はサプリカントとスイッチが LAN で使うフレーム形式で、ツールはその世界から育ったので名前を借りています。出荷されるのは、ピアの状態機械と RADIUS クライアントを一つのプロセスに載せたテストプログラムなので、802.1X の会話の二つの半分がケーブル上で出会うことはありません。名前は歴史であって、トポロジーの要件ではありません。

人が今もポートを求めるのは、プログラムがオーセンティケータの振る舞いに乗っているからで、それはハードウェアのように聞こえます。その糊はオーセンティケータの状態機械を再現するので、部屋にアクセスポイントがなくてもテストは完了します。コンパイル済みバイナリは wpa_supplicant の EAP ピアと hostapd の RADIUS クライアントをリンクしています。スイッチを外すと EAPOL のホップが外れるだけで、認証ロジックは外れません。残るのは二台の IP ホスト間のクライアントサーバー交換です。

一回の RADIUS 交換をホップごとに追う

一回の試行を追うと、経路は短いものです。eapol_testの中のピアが、設定したメソッドの EAP-Response を生成し、同じプロセスの RADIUS クライアントがそれを Access-Request に入れ、ペイロードを Message-Authenticator の隣の EAP-Message 属性に載せます。そのデータグラムは UDP ポート 1812 でサーバーに宛てられ、他の IP パケットと同じようにホストを出ます。ここでトンネルが関わってきます。サーバーはポリシーとメソッドモジュールに照らして評価し、Access-Challenge、Access-Accept、Access-Reject のいずれかで応答します。

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

バイナリはサーバーアドレス、ポート、共有シークレットをコマンドラインから、メソッドと資格情報を wpa_supplicant 形式の設定ブロックから取ります。この呼び出しのどこにもレイヤー2 の隣接性は要りません。-aにはルーティングで到達でき、それをルーティングする VPN で十分です。トンネルがデータグラムを落とせば、フラットな LAN で到達不能なサーバーに対するのとまったく同じようにテストは失敗します。

バイナリとサーバーポリシーは別の一覧である

メソッドが通るかどうかを決める一覧は二つあり、それを混同すると一日を無駄にします。一つ目の一覧はバイナリにコンパイルされています。ビルド設定がどの EAP メソッドが存在するかを選ぶので、メソッドを含まないビルドは、サーバーが何を許してもそれを交渉できません。二つ目の一覧はサーバー上にあり、対応しているメソッドのうちこのクライアント種別がどれを使えるかをポリシーが決めます。通るには積集合が必要で、どちらの一覧も他方の欠けを埋められません。

サーバーを責める前に、その一つ目の一覧を確認してください。インストール済みのバイナリでメソッド名を検索するか、それが由来するビルド設定を読んでください。メソッドがなければ RADIUS ポリシーを編集するのではなく再ビルドし、あればあって交換がまだ失敗するなら、問題は資格情報、ポリシー、証明書の信頼へ移っています。

通ってもまだ覆えないもの

成功した実行が証明するのは、一つのメソッド、一つの資格情報セット、一つの RADIUS ポリシー、一つのネットワーク経路です。アクセスポイントの無線、スイッチの EAPOL 処理、認証後に続く VLAN 割り当て、そしてVPN コンセントレーターが同じサーバーと統合する仕方は試していません。それらの構成要素はテストされた経路に一度も載っていません。結果は限定的な証拠として扱い、報告するときはどの限界を覆うのかを述べてください。

役に立つ記録は、サーバーとプロセスがそれぞれ何を観測したかです。どのメソッドが交渉され、交換がどこで止まり、サーバーが何を記録したか。共有シークレットと秘密鍵はその記録の外に置いてください。

結果を引用する前のチェックリスト

誰かが出力を承認として扱う前に、四つのことを確認してください。ビルドに試験対象のメソッドが含まれていること、RADIUS のエンドポイントと共有シークレットが試験対象の環境のものであること、サーバーポリシーがこのテスト ID を許すこと、ネットワーク経路が本番クライアントと同じ種別であること。そのうえで、実行が触れなかったものを名指ししてください。アクセスポイント、スイッチ、VLAN、コンセントレーター統合はそれぞれテスト計画に独自の行が要ります。

二人の担当者による二つのテストは、曖昧な承認一つに勝ります。eapol_testの実行がメソッドとサーバーの問いに答え、アクセスサービスが適用の問いに答えます。