VPN арқылы eapol_test: RADIUS алмасуына 2-қабат керек пе?

Зертханалық коммутатор портын сұраңыз, eapol_test іске қосу үшін — және құралды дұрыс түсінбеген боларсыз. Peer мен RADIUS клиенті екеуі де сол бір бинарлық файлдың ішінде тұрады, сондықтан машинадан шығатын жалғыз әңгіме — RADIUS алмасуының өзі. Сынақ хосты мен аутентификация сервері арасындағы маршрутталған туннель — бүкіл желілік талап. Физикалық 802.1X жолы — әлі сынау қажет болуы мүмкін басқа нәрсе, және бұл ол емес.

Неліктен атау адамдарды коммутатор портын іздеуге жібереді

EAPOL — supplicant пен коммутатордың LAN-да қолданатын кадр пішімі, ал құрал атауды сол әлемнен шыққандықтан қарызға алған. Жеткізілетіні — peer күй машинасы мен RADIUS клиентін бір процесте алып жүретін сынақ бағдарламасы, сондықтан 802.1X әңгімесінің екі жартысы ешқашан сым үстінде кездеспейді. Атау — тарих, топология талабы емес.

Адамдар әлі де порт сұрайды, өйткені бағдарлама аутентификатор мінезіне сүйенеді, ал бұл жабдық сияқты естіледі. Оның желімі аутентификатор күй машинасын қайталайды, сондықтан сынақ бөлмеде кіру нүктесінсіз аяқталады; компиляцияланған бинар wpa_supplicant-тың EAP peer-ін hostapd-тың RADIUS клиентімен байланыстырады. Коммутаторды алып тастау EAPOL секірісін алып тастайды, аутентификация логикасын емес. Қалғаны — екі IP хост арасындағы клиент-сервер алмасуы.

Бір RADIUS алмасуын секіріс-секіріс бақылаңыз

Бір әрекетті бақылаңыз, жол қысқа. eapol_test ішіндегі peer сіз конфигурациялаған әдіс үшін EAP-Response жасайды, ал сол процестегі RADIUS клиенті оны Access-Request ішіне салады, жүкті Message-Authenticator жанындағы EAP-Message атрибуттарында тасымалдайды. Бұл датаграмма UDP 1812 портында серверге адрестеледі және кез келген басқа IP пакеті сияқты хосттан шығады, туннель дәл осы жерде кіреді. Сервер оны өз саясаты мен әдіс модульдері бойынша бағалайды, содан кейін Access-Challenge, Access-Accept немесе Access-Reject-пен жауап береді.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Бинар сервер мекенжайын, портты және ортақ құпияны пәрмен жолынан, ал әдіс пен тіркелгі деректерін wpa_supplicant стиліндегі конфигурация блогынан алады. Бұл шақыруда ештеңе 2-қабаттың көршілестігіне тәуелді емес: -a маршруттау арқылы жетеді, және оны маршруттайтын VPN жеткілікті. Егер туннель датаграмманы тастап кетсе, сынақ тегіс LAN-дағы қолжетімсіз серверге қарсы сияқты сәтсіз аяқталады.

Бинар мен сервер саясаты — әртүрлі тізімдер

Әдістің өту-өтпеуін екі тәуелсіз тізім шешеді, оларды шатастыру бір күнді жоғалтады. Бірінші тізім бинарға компиляцияланған: build конфигурациясы қандай EAP әдістері бар екенін таңдайды, сондықтан әдіссіз build сервер не рұқсат етсе де онымен келіссөз жүргізе алмайды. Екінші тізім серверде тұрады, онда саясат қолдау көрсетілетін әдістердің қайсысын осы клиент класы қолдана алатынын айтады. Өту үшін қиылыс қажет, және ешбір тізім екіншісінің олқылығын толтыра алмайды.

Серверді кінәламас бұрын сол бірінші тізімді тексеріңіз. Орнатылған бинардан әдіс атауын іздеңіз немесе ол келген build конфигурациясын оқыңыз. Егер әдіс жоқ болса, RADIUS саясатын өңдеудің орнына қайта жинаңыз; егер ол бар болып, алмасу әлі де сәтсіз болса, мәселе тіркелгі деректеріне, саясатқа немесе сертификат сеніміне ауысқан.

Өту әлі де нені қамтымайды

Сәтті іске қосу бір әдісті дәлелдейді, бір тіркелгі деректер жинағы үшін, бір RADIUS саясатына қарсы, бір желілік жол бойымен. Ол кіру нүктесінің радиосын, коммутатордың EAPOL өңдеуін, аутентификациядан кейінгі VLAN тағайындауын немесе VPN концентраторының сол сервермен қалай бірігетінін жаттықтырмайды. Бұл құрамдастар сыналған жолда ешқашан болмаған. Нәтижені шектеулі дәлел ретінде қарастырыңыз және есеп бергенде оның қай шекараны қамтитынын айтыңыз.

Пайдалы жазба — сервер мен процесс әрқайсысы нені байқағаны: қандай әдіс келісілді, алмасу қайда тоқтады және сервер нені журналдады. Ортақ құпиялар мен жеке кілттерді сол жазбадан тыс ұстаңыз.

Нәтижені келтірмес бұрын бақылау тізімі

Біреу шығысты мақұлдау деп қабылдамас бұрын төрт нәрсені растаңыз. Build сыналатын әдісті қамтиды, RADIUS соңғы нүктесі мен ортақ құпия сыналатын ортаға тиесілі, сервер саясаты осы сынақ сәйкестігін жібереді, және желілік жол өндірістік клиенттер қолданатын жолдың дәл сол класы. Содан кейін іске қосу нені ұстамағанын атаңыз: кіру нүктесі, коммутатор, VLAN және концентратор интеграциясының әрқайсысы сынақ жоспарында өз жолын қажет етеді.

Екі иесі бар екі сынақ бір көмескі мақұлдаудан артық. eapol_test іске қосуы әдіс пен сервер сұрағына жауап береді; қатынас қызметі орындау сұрағына жауап береді.