რატომ ხედავს RADIUS IP მისამართს VPN მომხმარებლის სახელის ნაცვლად

Windows IKEv2 კლიენტი უკავშირდება და RADIUS მოთხოვნა მოდის მისამართით იქ, სადაც ანგარიშის სახელი უნდა იყოს. ჯერ არაფერი ჩავარდნილა და სწორედ ესაა დამაბნეველი: კარიბჭე აცნობებს იდენტობას, რომელიც კლიენტმა IKE დონეზე წარადგინა. მომხმარებლის სახელი, რომელიც თქვენს ბექენდს სურს, შესაძლოა მოვიდეს ცალკე EAP გაცვლიდან, რომელიც ჯერ არ მომხდარა. გადაწყვიტეთ, ვინ ითხოვს მას, სანამ ანგარიშს შეცვლით.

ორი იდენტობა მოგზაურობს ერთ კავშირში

ერთ კავშირში ორი სახელი შეიძლება გამოჩნდეს. IKE იდენტობა პარტნიორს ტუნელის აწყობისას ამოიცნობს და eap-radius დანამატი თავიდან მას RADIUS User-Name-ში აკოპირებს. EAP იდენტობა სხვა მნიშვნელობაა, რომელიც მომხმარებლის ავთენტიფიკაციისთვის გამოიყენება და შეიძლება არასდროს გაიგზავნოს, თუ არავინ ითხოვს.

ამიტომ RADIUS ჟურნალი შეიძლება მისამართს აჩვენებდეს, მაშინ როცა ანგარიში არსებობს და პაროლი სწორია. ბექენდს არასწორ დონეზე ეკითხებიან. RADIUS ატრიბუტი მხოლოდ არჩეული სახელის ტრანსპორტია.

სთხოვეთ კარიბჭეს EAP იდენტობის მოთხოვნა

ერთი მხარდაჭერილი განლაგება კარიბჭეს აიძულებს EAP იდენტობა მოითხოვოს ავთენტიფიკაციის RADIUS-ზე გადაცემამდე. კავშირის დისტანციური ავთენტიფიკაციის განყოფილებაში მეთოდი დააყენეთ eap-radius-ზე და EAP იდენტობა ცხადად მოითხოვეთ. ქვემოთ მოცემული ფრაგმენტი არსებული კავშირის ბლოკის შიგნითაა და არა ცალკე ფაილში. სანამ სინტაქსს სხვა განლაგებიდან დააკოპირებთ, დაადასტურეთ კავშირი და კონფიგურაციის ბექენდი.

remote {
    auth = eap-radius
    eap_id = %any
}

ამით ბექენდი IKE მისამართის ნაცვლად იღებს იდენტობას, რომელსაც კლიენტი EAP გაცვლაში აწვდის. კავშირში სხვა არაფერი იცვლება.

ან მიეცით RADIUS-ს EAP გაცვლის დაწყების უფლება

მეორე განლაგება პირველ ნაბიჯს RADIUS მხარეს ტოვებს. დანამატს შეუძლია EAP-Start მითითება გაგზავნოს საწყისი იდენტობის პასუხის ნაცვლად ლოდინისა, რაც სერვერს გაცვლის წარმართვის საშუალებას აძლევს. ეს დანამატის დონის კონფიგურაციაა, ამიტომ გავლენას ახდენს ყველა კავშირზე, რომელიც დანამატს იყენებს.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

აირჩიეთ ერთი განლაგება RADIUS ოპერატორთან ერთად, ნაცვლად იმისა, რომ ორივე ჩართოთ და იმედი გქონდეთ. ისინი სხვადასხვა სამუშაო ნაკადს აღწერენ და სერვერი, რომელიც დაწყებას მოელის, შესაძლოა ვერ გაუმკლავდეს კარიბჭეს, რომელიც საუბარს იწყებს. დანამატის დოკუმენტაცია ორივეს აღწერს, მათ შორის რომელ იდენტობას ატარებს ყოველი ნაბიჯი.

თვალყური ადევნეთ ერთ მცდელობას ორივე ჟურნალში

დააკავშირეთ ერთი მცდელობა ორივე ჟურნალში. ნახეთ IKE იდენტობა, შემდეგ ხდება თუ არა EAP-Identity გაცვლა, შემდეგ რომელ სახელს იღებს ავთენტიფიკაციის ნაბიჯი. ბექენდი, რომელიც მისამართს EAP გაცვლამდე უარყოფს, შეიძლება პროცესი შეაჩეროს მანამ, სანამ თქვენი განზრახული იდენტობა ოდესმე გამოჩნდება.

journalctl -u strongswan -f

შეინარჩუნეთ ზუსტად ის მომხმარებლის სახელის ფორმატი, რომელსაც იდენტობის სისტემა ელოდება, დომენის პრეფიქსის ჩათვლით. არასდროს გამოიგონოთ ანგარიში მისამართის ფორმის მნიშვნელობიდან და არასდროს გამორთოთ ავთენტიფიკაცია პოლიტიკის წესის დასაკმაყოფილებლად. EAP იდენტობა გამოცხადებული სახელია და მეთოდმა მაინც უნდა დაამტკიცოს იგი. მიღებული სახელი ჩაწერეთ ტესტის ჩანაწერში, რომ შემდეგი მცდელობა ცნობილი მდგომარეობიდან დაიწყოს.

თუ გასწორებული ნაკადი სწორ ანგარიშს აღწევს და მაინც უარყოფილია, შემდეგი მტკიცებულება EAP მეთოდი და ბექენდის პოლიტიკაა და არა იდენტობა. პაროლის აღდგენის გამეორება ვერ გაასწორებს მნიშვნელობას, რომელიც ადრინდელ პროტოკოლის დონეზე აირჩიეს.