EAP VPN-კარიბჭის გავლით: ვინ ამთავრებს მეთოდს

დახმარების ბილეთები აღწერენ წარუმატებელ VPN შესვლას და RADIUS პოლიტიკას, რომელიც უფრო ძლიერ მეთოდს ითხოვს, თითქოს ერთი და იგივე პრობლემაა, მაგრამ ასე არ არის. კარიბჭე ან იღებს მონაცემებს და გადასცემს, ან EAP საუბარს ატარებს კლიენტსა და აუთენტიფიკაციის სერვერს შორის. რომელი ხდება, განსაზღვრავს, შეუძლია თუ არა სერვერის მხარეს ცვლილებას რაიმეს გამოსწორება. წაიკითხეთ გაცვლა სანამ სერვერის ჯგუფს შეცვლით.

აუთენტიფიკაციის ორი გზა, რომლებიც ჟურნალში ერთნაირად გამოიყურება

პირველ გზაზე VPN-კარიბჭე აგროვებს მომხმარებლის სახელსა და პაროლს და აგზავნის RADIUS Access-Request-ს პაროლის ატრიბუტით. აუთენტიფიკაციის სერვერი ადარებს მას საკუთარ საცავს და პასუხობს მიღებით ან უარით. კლიენტი არასოდეს ასრულებს EAP მეთოდს, რადგან არაფერს არ უთხოვია.

მეორე გზაზე კლიენტი და აუთენტიფიკაციის სერვერი EAP მეთოდს თავიდან ბოლომდე ასრულებენ, კარიბჭე კი მათ შორის EAP-Message ატრიბუტებს გადასცემს. კარიბჭე კვლავ ამთავრებს გარე RADIUS საუბარს, მაგრამ მეთოდის ლოგიკა ორ ბოლოში ცხოვრობს.

ორივე გზა ჟურნალში ქმნის ხაზს, რომ აუთენტიფიკაცია ვერ მოხერხდა. მხოლოდ მეორეზე შეიძლება იმოქმედოს იმან, თუ რომელ EAP მეთოდს ანიჭებს უპირატესობას სერვერი, და მხოლოდ პირველზე იმან, თუ როგორ კითხულობს კარიბჭე პაროლს. მათი ურთიერთშემცვლელად მიჩნევა იწვევს იმას, რომ გუნდები მთელ დღეს ხარჯავენ სერვერის ჯგუფების შეცვლაზე ისეთი კლიენტისთვის, რომელიც არასოდეს აპირებდა PEAP-ის ლაპარაკს.

სად მუშაობს მეთოდი სინამდვილეში

RFC 3579 განსაზღვრავს გატარების წესს: NAS EAP პაკეტებს RADIUS ატრიბუტებში ატარებს და არ სჭირდება მეთოდის სპეციფიკური კოდი ყოველი EAP ტიპისთვის. ამიტომ კარიბჭეს შეუძლია PEAP-ისა და EAP-TLS-ის მხარდაჭერა არც ერთის განხორციელების გარეშე.

კარიბჭე, რომელიც პაროლს აგზავნის, PEAP-ს არ ატარებს, თუნდაც უკანა სისტემა სხვა კლიენტისგან PEAP-ს მიიღებდეს. სერვერის პოლიტიკაში PEAP-ის ჩართვა მეთოდს არ ამატებს კლიენტს, რომელსაც არასოდეს შემოუთავაზებია.

PPP აუთენტიფიკაციის პარამეტრები PPP სერვისს ეკუთვნის. ისინი ჩუმად არ გადააკონფიგურირებენ ყოველ IPsec ან ძველ XAuth გზას, რომელიც იმავე AAA სერვერს იყენებს, ამიტომ ერთი წვდომის ტიპისთვის მოქმედი ცვლილება მეორეს ხელუხლებლად დატოვებს.

რა უნდა დაუჭიროს მხარი NAS-მა

გატარება მოთხოვნას მეთოდის კოდიდან გადამტანის მხარდაჭერაზე გადააქვს. კარიბჭემ EAP უნდა ატაროს საკუთარი VPN პროტოკოლით, ხოლო მასზე მყოფმა RADIUS კლიენტმა შესაბამისი ზომის EAP-Message ატრიბუტები უნდა გაგზავნოს და მიიღოს.

IKEv2-ისთვის EAP განსაზღვრული აუთენტიფიკაციის ნაკადის ნაწილია და სერვერის იდენტობისა და ნდობის შემოწმებები ამ ნაკადიდან მოდის. 802.1X განლაგებიდან ნასესხები PEAP ეტიკეტი ავტომატურად არ გადადის, რადგან მის ირგვლივ მოლაპარაკება განსხვავებულია.

კლიენტის მხარესაც აქვს მოთხოვნები. ის უნდა იყოს კონფიგურირებული მეთოდისთვის, ენდოს მეთოდის მიერ წარდგენილ სერვერის სერტიფიკატს და ჰქონდეს მონაცემები, რომელთაც მეთოდი გამოიყენებს. სერტიფიკატზე დაფუძნებული მეთოდი კლიენტის სერტიფიკატის გარეშე იშლება მანამ, სანამ RADIUS რამეს დაინახავს, რაც მომარაგების პრობლემაა და არა სერვერის პოლიტიკის.

წაიკითხეთ ერთი მცდელობა პოლიტიკის შეცვლამდე

დააფიქსირეთ ერთი დამტკიცებული მცდელობა კარიბჭესა და აუთენტიფიკაციის სერვერზე. მოძებნეთ EAP-Message ატრიბუტები RADIUS მოთხოვნაში. მათი არსებობა ამბობს, რომ გატარების გზა გამოიყენება; არარსებობა მონაცემების გაცვლაზე მიუთითებს.

Linux კარიბჭეზე RADIUS პორტზე გაკეთებული ჩაწერა აჩვენებს, რომელი ატრიბუტებია ხაზზე:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

შემდეგ შეადარეთ უარის წერტილი. კარიბჭეზე მარცხი ნებისმიერ RADIUS პაკეტამდე ნიშნავს, რომ კლიენტი და კარიბჭე მეთოდზე არ შეთანხმდნენ. EAP ატრიბუტების მქონე RADIUS უარი ნიშნავს, რომ ბოლოებმა მეთოდი შეასრულეს და ერთმა მათგანმა შედეგი უარყო.

დაგეგმეთ მიგრაცია როგორც ერთი ბოლოდან ბოლომდე ცვლილება

მეთოდის შეცვლა ნიშნავს კლიენტის კონფიგურაციის, კარიბჭის გადამტანის მხარდაჭერის, სერვერის მეთოდის პოლიტიკისა და მონაცემთა საცავის ერთად შეცვლას. გააკეთეთ ამ თანმიმდევრობით და შეინარჩუნეთ მოქმედი გზა, სანამ ახალი დამტკიცდება. მხოლოდ სერვერის მხარეს ცვლილება ვარაუდია და ჩვეულებრივ ამტვრევს მომუშავე კლიენტებს. მოამზადეთ ცვლილება ერთ სატესტო იდენტობაზე, სანამ ჯგუფს შეეხებით.

ჩაწერეთ მოქმედი კომბინაცია: VPN პროტოკოლი, EAP გადამტანი, პარტნიორის მეთოდი, სერვერის მეთოდი, მონაცემთა ტიპი და სერვერის იდენტობის შემოწმება.

ადმინისტრაციული AAA შესვლა გამოყავით VPN აუთენტიფიკაციისგან, თუ დავალება ცალსახად არ მოიცავს ორივეს. დისტანციური წვდომისთვის განკუთვნილი ცვლილება არ უნდა წაგართვას იმ მოწყობილობის მართვის შესაძლებლობა, რომელიც მას ამთავრებს.