eapol_test VPN-ის გავლით: სჭირდება RADIUS გაცვლას მე-2 დონე?

მოითხოვეთ ლაბორატორიის კომუტატორის პორტი, რომ გაუშვათ eapol_test — და, სავარაუდოდ, ხელსაწყო არასწორად გაიგეთ. peer და RADIUS კლიენტი ორივე იმ ერთ ბინარულ ფაილში ცხოვრობს, ამიტომ მანქანიდან გამავალი ერთადერთი საუბარი თავად RADIUS გაცვლაა. მარშრუტიზებული გვირაბი ტესტის ჰოსტსა და აუთენტიფიკაციის სერვერს შორის მთელი ქსელური მოთხოვნაა. ფიზიკური 802.1X გზა სხვა რამაა, რომლის გამოცდაც შეიძლება ჯერ კიდევ დაგჭირდეთ, და ეს ის არ არის.

რატომ აგზავნის სახელი ადამიანებს კომუტატორის პორტის საძებნელად

EAPOL არის კადრის ფორმატი, რომელსაც supplicant და კომუტატორი იყენებენ LAN-ზე, და ხელსაწყომ სახელი ისესხა, რადგან იმ სამყაროდან გაიზარდა. რაც მიეწოდება, არის სატესტო პროგრამა, რომელიც peer-ის მდგომარეობის მანქანას და RADIUS კლიენტს ერთ პროცესში ატარებს, ამიტომ 802.1X საუბრის ორი ნახევარი არასოდეს ხვდება მავთულზე. სახელი ისტორიაა, არა ტოპოლოგიის მოთხოვნა.

ადამიანები კვლავ ითხოვენ პორტს, რადგან პროგრამა აუთენტიფიკატორის ქცევაზე დგას, და ეს ტექნიკას ჰგავს. მისი წებო ამრავლებს აუთენტიფიკატორის მდგომარეობის მანქანას, ამიტომ ტესტი სრულდება ოთახში წვდომის წერტილის გარეშე; კომპილირებული ბინარი აკავშირებს wpa_supplicant-ის EAP peer-ს hostapd-ის RADIUS კლიენტთან. კომუტატორის მოცილება აშორებს EAPOL ნახტომს, არა აუთენტიფიკაციის ლოგიკას. რაც რჩება, არის კლიენტ-სერვერის გაცვლა ორ IP ჰოსტს შორის.

თვალი ადევნეთ ერთ RADIUS გაცვლას ნახტომ-ნახტომ

თვალი ადევნეთ ერთ ცდას და გზა მოკლეა. eapol_test ფაილის შიგნით peer აწარმოებს EAP-Response-ს თქვენ მიერ კონფიგურირებული მეთოდისთვის, და იმავე პროცესის RADIUS კლიენტი მას Access-Request-ში დებს, ტვირთს EAP-Message ატრიბუტებში ატარებს Message-Authenticator-ის გვერდით. ეს დატაგრამა მისამართდება სერვერზე UDP პორტზე 1812 და ტოვებს ჰოსტს, როგორც ნებისმიერი სხვა IP პაკეტი, და სწორედ აქ შემოდის გვირაბი. სერვერი მას აფასებს თავისი პოლიტიკისა და მეთოდის მოდულების მიხედვით, შემდეგ პასუხობს Access-Challenge, Access-Accept ან Access-Reject-ით.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

ბინარი იღებს სერვერის მისამართს, პორტს და საერთო საიდუმლოს ბრძანების ხაზიდან, ხოლო მეთოდს და რწმუნებულებს wpa_supplicant-ის სტილის კონფიგურაციის ბლოკიდან. ამ გამოძახებაში არაფერი არ არის დამოკიდებული მე-2 დონის მეზობლობაზე: -a მიიღწევა მარშრუტიზაციით, და საკმარისია VPN, რომელიც მას მარშრუტიზებს. თუ გვირაბი ჩამოაგდებს დატაგრამას, ტესტი ისე ვერ გაივლის, როგორც მიუწვდომელ სერვერთან ბრტყელ LAN-ზე.

ბინარი და სერვერის პოლიტიკა სხვადასხვა სიებია

ორი დამოუკიდებელი სია წყვეტს, შეიძლება თუ არა მეთოდი გაიაროს, და მათი არევა დღეს კარგავს. პირველი სია ბინარშია კომპილირებული: build კონფიგურაცია ირჩევს, რომელი EAP მეთოდები არსებობს, ამიტომ მეთოდის გარეშე build ვერ შეძლებს მასზე მოლაპარაკებას, რაც არ უნდა დაუშვას სერვერმა. მეორე სია სერვერზე ცხოვრობს, სადაც პოლიტიკა ამბობს, მხარდაჭერილი მეთოდებიდან რომელი შეიძლება გამოიყენოს ამ კლიენტთა კლასმა. გასავლელად კვეთაა საჭირო, და არც ერთი სია ვერ შეავსებს მეორის ხარვეზს.

შეამოწმეთ ის პირველი სია, სანამ სერვერს დაადანაშაულებთ. მოძებნეთ მეთოდის სახელი დაყენებულ ბინარში, ან წაიკითხეთ build კონფიგურაცია, საიდანაც ის მოვიდა. თუ მეთოდი არ არის, ხელახლა ააწყვეთ RADIUS პოლიტიკის რედაქტირების ნაცვლად; თუ არის და გაცვლა მაინც ვერ ხერხდება, პრობლემა რწმუნებულებზე, პოლიტიკაზე ან სერტიფიკატის ნდობაზე გადავიდა.

რასაც გავლა ჯერ კიდევ არ ფარავს

წარმატებული გაშვება ამტკიცებს ერთ მეთოდს, ერთი რწმუნებულების ნაკრებისთვის, ერთი RADIUS პოლიტიკის წინააღმდეგ, ერთი ქსელური გზით. ის არ ვარჯიშობს წვდომის წერტილის რადიოს, კომუტატორის EAPOL დამუშავებას, აუთენტიფიკაციის შემდეგ VLAN-ის მინიჭებას, ან იმ გზას, რომლითაც VPN კონცენტრატორი ინტეგრირდება იმავე სერვერთან. ეს კომპონენტები არასოდეს ყოფილან გამოცდილ გზაზე. მოეპყარით შედეგს როგორც შეზღუდულ მტკიცებულებას, და თქვით, რომელ საზღვარს ფარავს, როცა აცხადებთ.

სასარგებლო ჩანაწერია ის, რაც სერვერმა და პროცესმა თითოეულმა დააკვირდა: რომელი მეთოდი იქნა მოლაპარაკებული, სად გაჩერდა გაცვლა, და რა ჩაწერა სერვერმა. შეინახეთ საერთო საიდუმლოები და კერძო გასაღებები იმ ჩანაწერის გარეთ.

საკონტროლო სია სანამ შედეგს ციტირებთ

სანამ ვინმე გამოსავალს დამტკიცებად მიიღებს, დაადასტურეთ ოთხი რამ. build შეიცავს საგამოცდო მეთოდს, RADIUS-ის ბოლო წერტილი და საერთო საიდუმლო საგამოცდო გარემოს ეკუთვნის, სერვერის პოლიტიკა უშვებს ამ სატესტო იდენტობას, და ქსელური გზა იმავე კლასისაა, რასაც წარმოების კლიენტები იყენებენ. შემდეგ დაასახელეთ, რასაც გაშვება არ შეხებია: წვდომის წერტილი, კომუტატორი, VLAN და კონცენტრატორის ინტეგრაცია თითოეულს თავისი ხაზი სჭირდება ტესტის გეგმაში.

ორი ტესტი ორი მფლობელით სჯობს ერთ ბუნდოვან დამტკიცებას. eapol_test გაშვება პასუხობს მეთოდისა და სერვერის კითხვას; წვდომის სერვისი პასუხობს აღსრულების კითხვას.