Неге RADIUS VPN пайдаланушы атының орнына IP мекенжайын көреді

strongSwan кез келген EAP алмасуына дейін IKE идентификациясын RADIUS User-Name ішіне қоя алады. Тіркелгі идентификациясын кім сұрайтынын шешіп, сосын бір әрекетті салыстырыңыз.

Windows IKEv2 клиенті қосылады, ал RADIUS сұранысы тіркелгі аты болуы керек жерде мекенжаймен келеді. Әзірге ештеңе сәтсіз болған жоқ, және шатастыратын бөлігі де осы: шлюз клиенттің IKE деңгейінде ұсынған идентификациясын хабарлайды. Сіздің бэкенд қалайтын пайдаланушы аты әлі болмаған жеке EAP алмасуынан келуі мүмкін. Тіркелгіні өзгертуден бұрын оны кім сұрайтынын шешіңіз.

Бір қосылымда екі идентификация жүреді

Бір қосылымда екі ат пайда болуы мүмкін. IKE идентификациясы туннельді орнату кезінде серіктесті анықтайды, ал eap-radius плагині оны әуелде RADIUS User-Name ішіне көшіреді. EAP идентификациясы басқа мән, ол пайдаланушыны аутентификациялауға қолданылады және ешкім сұрамаса, ешқашан жіберілмеуі мүмкін.

Сондықтан RADIUS журналы тіркелгі бар және құпиясөз дұрыс болғанда мекенжайды көрсете алады. Бэкендтен қате қабат туралы сұралып жатыр. RADIUS атрибуты тек таңдалған ат үшін тасымалдаушы ғана.

Шлюзден EAP идентификациясын сұрауды өтініңіз

Қолдау көрсетілетін бір реттеу шлюзге аутентификацияны RADIUS-қа бермес бұрын EAP идентификациясын сұрауға мүмкіндік береді. Қосылымның қашықтан аутентификациялау бөлімінде әдісті eap-radius етіп орнатып, EAP идентификациясын анық сұраңыз. Төмендегі үзінді өз файлында емес, бар қосылым блогының ішінде болады. Синтаксисті басқа орналастырудан көшіруден бұрын қосылымды және конфигурация бэкендін растаңыз.

remote {
    auth = eap-radius
    eap_id = %any
}

Осымен бэкенд IKE мекенжайының орнына клиенттің EAP алмасуында ұсынған идентификациясын алады. Қосылымда басқа ештеңе өзгермейді.

Немесе RADIUS EAP алмасуын бастасын

Басқа реттеу бірінші қадамды RADIUS жағына қояды. Плагин бастапқы идентификация жауабын күтудің орнына EAP-Start белгісін жібере алады, бұл серверге алмасуды басқаруға мүмкіндік береді. Бұл плагин деңгейіндегі конфигурация, сондықтан плагинді қолданатын әрбір қосылымға әсер етеді.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Екеуін де қосып үміттенудің орнына RADIUS операторымен бір реттеуді таңдаңыз. Олар әртүрлі жұмыс ағындарын сипаттайды, және бастауды күтетін сервер сөйлесуді бастаған шлюзді міндетті түрде ұстай алмайды. Плагин құжаттамасы екеуін де сипаттайды, соның ішінде әр қадам қандай идентификация таситынын.

Бір әрекетті екі журналда қадағалаңыз

Бір әрекетті екі журналда салыстырыңыз. IKE идентификациясын, сосын EAP-Identity алмасуының болуын, сосын аутентификация қадамы қандай ат алатынын бақылаңыз. EAP алмасуына дейін мекенжайды қабылдамайтын бэкенд сіздің көздеген идентификацияңыз ешқашан көрінбей тұрып процесті тоқтата алады.

journalctl -u strongswan -f

Идентификация жүйесі күтетін пайдаланушы атының нақты пішімін, домен префиксін қоса, сақтаңыз. Мекенжай пішінді мәннен ешқашан тіркелгі ойлап таппаңыз және саясат ережесін орындау үшін аутентификацияны ешқашан өшірмеңіз. EAP идентификациясы — мәлімделген ат, және әдіс оны әлі дәлелдеуі керек. Шыққан атты сынақ жазбасына жазыңыз, келесі әрекет белгілі күйден басталсын.

Егер түзетілген ағын дұрыс тіркелгіге жетіп, әлі де қабылданбаса, келесі дәлел — идентификация емес, EAP әдісі мен бэкенд саясаты. Құпиясөзді қайта қалпына келтіруді қайталау бұрынғы протокол қабатында таңдалған мәнді түзете алмайды.

Қатысты мақалалар