VPN шлюзі арқылы EAP: әдісті кім тоқтатады

Қолдау билеттері сәтсіз VPN кіруді және неғұрлым күшті әдісті талап ететін RADIUS саясатын бір мәселе ретінде сипаттайды, бірақ олай емес. Шлюз не тіркелгі деректерін қабылдап жібереді, не клиент пен аутентификация сервері арасында EAP әңгімесін алып жүреді. Қайсысы болып жатқаны сервер жағындағы өзгеріс бірдеңені түзете алатынын анықтайды. Сервер тобын өңдеуден бұрын алмасуды оқыңыз.

Журналда бірдей көрінетін екі аутентификация жолы

Бірінші жолда VPN шлюзі пайдаланушы аты мен құпия сөзді жинап, құпия сөз атрибутымен RADIUS Access-Request жібереді. Аутентификация сервері оны өз қоймасымен салыстырып, қабылдау немесе бас тарту деп жауап береді. Клиент EAP әдісін ешқашан орындамайды, өйткені оны ешкім сұраған жоқ.

Екінші жолда клиент пен аутентификация сервері EAP әдісін басынан аяғына дейін орындайды, ал шлюз олардың арасында EAP-Message атрибуттарын жібереді. Шлюз сыртқы RADIUS әңгімесін әлі де тоқтатады, бірақ әдістің логикасы екі ұшта тұрады.

Екі жол да журналда аутентификация сәтсіз болды деген жол қалдырады. Тек екіншісіне сервер қай EAP әдісін қалайтыны әсер етеді, ал біріншісіне шлюздің құпия сөзді қалай оқитыны әсер етеді. Оларды алмастырылатын деп қарау — командалардың PEAP сөйлемейтін клиент үшін бір күнін сервер топтарын өзгертуге жұмсауының себебі.

Әдіс шын мәнінде қайда жұмыс істейді

RFC 3579 өткізу тәртібін анықтайды: NAS EAP пакеттерін RADIUS атрибуттарында тасымалдайды және әр EAP түрі үшін әдіске тән код қажет емес. Сондықтан шлюз PEAP пен EAP-TLS-ті екеуін де іске асырмай қолдай алады.

Құпия сөзді жіберетін шлюз PEAP тасымалдамайды, тіпті артқы жүйе басқа клиенттен PEAP қабылдаса да. Сервер саясатында PEAP қосу ешқашан ұсынбаған клиентке әдіс қоспайды.

PPP аутентификация параметрлері PPP қызметіне жатады. Олар бір AAA серверін қолданатын әрбір IPsec немесе ескі XAuth жолын үнсіз қайта конфигурацияламайды, сондықтан бір кіру түрі үшін жарамды өзгеріс екіншісін тимей қалдыруы мүмкін.

NAS нені қолдауы керек

Өткізу талапты әдіс кодынан тасымалдаушыны қолдауға ауыстырады. Шлюз EAP-ны өз VPN протоколы арқылы тасымалдай алуы керек, ал ондағы RADIUS клиенті тиісті өлшемдегі EAP-Message атрибуттарын жіберіп, қабылдай алуы керек.

IKEv2 үшін EAP айқындалған аутентификация ағынының бөлігі, ал сервердің жеке басы мен сенімділік тексерулері сол ағыннан келеді. 802.1X орналастыруынан алынған PEAP белгісі өздігінен ауыспайды, өйткені оның айналасындағы келіссөз басқаша.

Клиент жағында да талаптар бар. Ол әдіс үшін конфигурациялануы, әдіс ұсынатын сервер сертификатына сенуі және әдіс пайдалана алатын тіркелгі деректері болуы керек. Клиент сертификаты жоқ сертификатқа негізделген әдіс RADIUS бірдеңе көрмей тұрып сәтсіз аяқталады, бұл сервер саясаты емес, жабдықтау мәселесі.

Саясатты өзгертуден бұрын бір әрекетті оқыңыз

Шлюзде және аутентификация серверінде бір мақұлданған әрекетті түсіріп алыңыз. RADIUS сұранысында EAP-Message атрибуттарын іздеңіз. Олардың болуы өткізу жолының қолданылып жатқанын білдіреді; болмауы тіркелгі деректерінің алмасуын көрсетеді.

Linux шлюзінде RADIUS портындағы түсірілім желіде қандай атрибуттар бар екенін көрсетеді:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Содан кейін бас тарту нүктесін салыстырыңыз. Кез келген RADIUS пакетіне дейін шлюздегі сәтсіздік клиент пен шлюз әдіс туралы келіспегенін білдіреді. EAP атрибуттары бар RADIUS бас тартуы ұштар әдісті орындағанын және біреуі нәтижені қабылдамағанын білдіреді.

Көшуді басынан аяғына дейінгі бір өзгеріс ретінде жоспарлаңыз

Әдісті өзгерту клиент конфигурациясын, шлюздің тасымалдаушыны қолдауын, сервердің әдіс саясатын және тіркелгі деректерінің қоймасын бірге өзгертуді білдіреді. Осы ретпен жасаңыз және жаңасы дәлелденгенше жұмыс істейтін жолды сақтаңыз. Тек сервер жағындағы өзгеріс болжам және әдетте жұмыс істеп тұрған клиенттерді бұзады. Топқа тимей тұрып, өзгерісті бір сынақ тұлғасында дайындаңыз.

Жұмыс істейтін үйлесімді жазып алыңыз: VPN протоколы, EAP тасымалдаушысы, серіктес әдісі, сервер әдісі, тіркелгі деректерінің түрі және сервер жеке басын тексеру.

Әкімшілік AAA кіруін VPN аутентификациясынан бөлек ұстаңыз, егер тапсырма екеуін де анық қамтымаса. Қашықтан кіруге арналған өзгеріс оны тоқтататын құрылғыны басқару мүмкіндігіңізді алып қоймауы керек.