VPN ಗೇಟ್‌ವೇ ಮೂಲಕ EAP: ವಿಧಾನವನ್ನು ಯಾರು ಕೊನೆಗೊಳಿಸುತ್ತಾರೆ

ಸಹಾಯವಾಣಿ ಟಿಕೆಟ್‌ಗಳು ವಿಫಲವಾದ VPN ಲಾಗಿನ್ ಮತ್ತು ಬಲವಾದ ವಿಧಾನ ಬೇಡುವ RADIUS ನೀತಿಯನ್ನು ಒಂದೇ ಸಮಸ್ಯೆ ಎಂಬಂತೆ ವಿವರಿಸುತ್ತವೆ, ಆದರೆ ಅವು ಹಾಗಲ್ಲ. ಗೇಟ್‌ವೇ ರುಜುವಾತುಗಳನ್ನು ಸ್ವೀಕರಿಸಿ ರವಾನಿಸುತ್ತದೆ, ಅಥವಾ ಕ್ಲೈಂಟ್ ಮತ್ತು ದೃಢೀಕರಣ ಸರ್ವರ್ ನಡುವೆ EAP ಸಂಭಾಷಣೆಯನ್ನು ಒಯ್ಯುತ್ತದೆ. ಇವುಗಳಲ್ಲಿ ಯಾವುದು ನಡೆಯುತ್ತದೆ ಎಂಬುದು ಸರ್ವರ್ ಬದಿಯ ಬದಲಾವಣೆ ಏನನ್ನಾದರೂ ಸರಿಪಡಿಸಬಹುದೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಸರ್ವರ್ ಗುಂಪನ್ನು ಸಂಪಾದಿಸುವ ಮೊದಲು ವಿನಿಮಯವನ್ನು ಓದಿ.

ಲಾಗ್‌ನಲ್ಲಿ ಒಂದೇ ರೀತಿ ಕಾಣುವ ಎರಡು ದೃಢೀಕರಣ ಮಾರ್ಗಗಳು

ಮೊದಲ ಮಾರ್ಗದಲ್ಲಿ VPN ಗೇಟ್‌ವೇ ಬಳಕೆದಾರ ಹೆಸರು ಮತ್ತು ಪಾಸ್‌ವರ್ಡ್ ಸಂಗ್ರಹಿಸಿ ಪಾಸ್‌ವರ್ಡ್ ಗುಣಲಕ್ಷಣದೊಂದಿಗೆ RADIUS Access-Request ಕಳುಹಿಸುತ್ತದೆ. ದೃಢೀಕರಣ ಸರ್ವರ್ ಅದನ್ನು ತನ್ನ ಸಂಗ್ರಹದೊಂದಿಗೆ ಹೋಲಿಸಿ ಸ್ವೀಕರಿಸು ಅಥವಾ ತಿರಸ್ಕರಿಸು ಎಂದು ಉತ್ತರಿಸುತ್ತದೆ. ಕ್ಲೈಂಟ್ ಎಂದಿಗೂ EAP ವಿಧಾನ ಚಲಾಯಿಸುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಯಾರೂ ಅದನ್ನು ಕೇಳಿಲ್ಲ.

ಎರಡನೇ ಮಾರ್ಗದಲ್ಲಿ ಕ್ಲೈಂಟ್ ಮತ್ತು ದೃಢೀಕರಣ ಸರ್ವರ್ EAP ವಿಧಾನವನ್ನು ಆರಂಭದಿಂದ ಕೊನೆಯವರೆಗೆ ಚಲಾಯಿಸುತ್ತವೆ, ಗೇಟ್‌ವೇ ಅವುಗಳ ನಡುವೆ EAP-Message ಗುಣಲಕ್ಷಣಗಳನ್ನು ರವಾನಿಸುತ್ತದೆ. ಗೇಟ್‌ವೇ ಹೊರಗಿನ RADIUS ಸಂಭಾಷಣೆಯನ್ನು ಇನ್ನೂ ಕೊನೆಗೊಳಿಸುತ್ತದೆ, ಆದರೆ ವಿಧಾನದ ತರ್ಕ ಎರಡು ತುದಿಗಳಲ್ಲಿದೆ.

ಎರಡೂ ಮಾರ್ಗಗಳು ದೃಢೀಕರಣ ವಿಫಲವಾಯಿತು ಎಂದು ಲಾಗ್‌ನಲ್ಲಿ ಸಾಲು ಸೃಷ್ಟಿಸುತ್ತವೆ. ಸರ್ವರ್ ಯಾವ EAP ವಿಧಾನಕ್ಕೆ ಆದ್ಯತೆ ನೀಡುತ್ತದೆ ಎಂಬುದು ಎರಡನೆಯದಕ್ಕೆ ಮಾತ್ರ ಪರಿಣಾಮ ಬೀರಬಹುದು, ಮತ್ತು ಗೇಟ್‌ವೇ ಪಾಸ್‌ವರ್ಡ್ ಹೇಗೆ ಓದುತ್ತದೆ ಎಂಬುದು ಮೊದಲನೆಯದಕ್ಕೆ ಮಾತ್ರ. ಅವುಗಳನ್ನು ಪರಸ್ಪರ ಬದಲಾಯಿಸಬಹುದಾದವು ಎಂದು ಪರಿಗಣಿಸುವುದೇ, PEAP ಮಾತನಾಡದ ಕ್ಲೈಂಟ್‌ಗಾಗಿ ತಂಡಗಳು ಒಂದು ದಿನ ಸರ್ವರ್ ಗುಂಪುಗಳನ್ನು ಬದಲಿಸುವಂತೆ ಮಾಡುತ್ತದೆ.

ವಿಧಾನ ನಿಜವಾಗಿ ಎಲ್ಲಿ ಚಲಿಸುತ್ತದೆ

RFC 3579 ರವಾನೆ ವ್ಯವಸ್ಥೆಯನ್ನು ವ್ಯಾಖ್ಯಾನಿಸುತ್ತದೆ: NAS RADIUS ಗುಣಲಕ್ಷಣಗಳಲ್ಲಿ EAP ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಒಯ್ಯುತ್ತದೆ ಮತ್ತು ಪ್ರತಿ EAP ಪ್ರಕಾರಕ್ಕೂ ವಿಧಾನ-ನಿರ್ದಿಷ್ಟ ಕೋಡ್ ಬೇಕಿಲ್ಲ. ಆದ್ದರಿಂದ ಗೇಟ್‌ವೇ PEAP ಮತ್ತು EAP-TLS ಎರಡನ್ನೂ ಜಾರಿಗೊಳಿಸದೆ ಬೆಂಬಲಿಸಬಹುದು.

ಪಾಸ್‌ವರ್ಡ್ ಕಳುಹಿಸುವ ಗೇಟ್‌ವೇ PEAP ಒಯ್ಯುವುದಿಲ್ಲ, ಬ್ಯಾಕೆಂಡ್ ಬೇರೆ ಕ್ಲೈಂಟ್‌ನಿಂದ PEAP ಸ್ವೀಕರಿಸಿದರೂ ಸಹ. ಸರ್ವರ್ ನೀತಿಯಲ್ಲಿ PEAP ಸಕ್ರಿಯಗೊಳಿಸುವುದು ಎಂದಿಗೂ ಸೂಚಿಸದ ಕ್ಲೈಂಟ್‌ಗೆ ವಿಧಾನ ಸೇರಿಸುವುದಿಲ್ಲ.

PPP ದೃಢೀಕರಣ ಸೆಟ್ಟಿಂಗ್‌ಗಳು PPP ಸೇವೆಗೆ ಸೇರಿವೆ. ಅವು ಅದೇ AAA ಸರ್ವರ್ ಬಳಸುವ ಪ್ರತಿ IPsec ಅಥವಾ ಹಳೆಯ XAuth ಮಾರ್ಗವನ್ನು ಸದ್ದಿಲ್ಲದೆ ಮರುಸಂರಚಿಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಒಂದು ಪ್ರವೇಶ ಪ್ರಕಾರಕ್ಕೆ ಕೆಲಸ ಮಾಡುವ ಬದಲಾವಣೆ ಇನ್ನೊಂದನ್ನು ಮುಟ್ಟದೆ ಬಿಡಬಹುದು.

NAS ಏನನ್ನು ಬೆಂಬಲಿಸಬೇಕು

ರವಾನೆ ಅಗತ್ಯವನ್ನು ವಿಧಾನ ಕೋಡ್‌ನಿಂದ ವಾಹಕ ಬೆಂಬಲಕ್ಕೆ ಸ್ಥಳಾಂತರಿಸುತ್ತದೆ. ಗೇಟ್‌ವೇ ತನ್ನ VPN ಪ್ರೋಟೋಕಾಲ್ ಮೇಲೆ EAP ಒಯ್ಯಲು ಸಾಧ್ಯವಾಗಬೇಕು, ಮತ್ತು ಅದರ ಮೇಲಿನ RADIUS ಕ್ಲೈಂಟ್ ಸಂಬಂಧಿತ ಗಾತ್ರದ EAP-Message ಗುಣಲಕ್ಷಣಗಳನ್ನು ಕಳುಹಿಸಿ ಸ್ವೀಕರಿಸಲು ಸಾಧ್ಯವಾಗಬೇಕು.

IKEv2 ಗೆ EAP ವ್ಯಾಖ್ಯಾನಿತ ದೃಢೀಕರಣ ಹರಿವಿನ ಭಾಗವಾಗಿದೆ, ಮತ್ತು ಸರ್ವರ್ ಗುರುತು ಹಾಗೂ ವಿಶ್ವಾಸ ಪರಿಶೀಲನೆಗಳು ಆ ಹರಿವಿನಿಂದ ಬರುತ್ತವೆ. 802.1X ನಿಯೋಜನೆಯಿಂದ ಎರವಲು ಪಡೆದ PEAP ಲೇಬಲ್ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ವರ್ಗಾವಣೆಯಾಗುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಅದರ ಸುತ್ತಲಿನ ಮಾತುಕತೆ ಬೇರೆಯದಾಗಿದೆ.

ಕ್ಲೈಂಟ್ ಬದಿಯೂ ಅಗತ್ಯಗಳನ್ನು ಹೊಂದಿದೆ. ಅದು ವಿಧಾನಕ್ಕೆ ಸಂರಚಿತವಾಗಿರಬೇಕು, ವಿಧಾನ ನೀಡುವ ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನಂಬಬೇಕು ಮತ್ತು ವಿಧಾನ ಬಳಸಬಹುದಾದ ರುಜುವಾತುಗಳನ್ನು ಹೊಂದಿರಬೇಕು. ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರವಿಲ್ಲದ ಪ್ರಮಾಣಪತ್ರ ಆಧಾರಿತ ವಿಧಾನ RADIUS ಏನನ್ನೂ ನೋಡುವ ಮೊದಲೇ ವಿಫಲವಾಗುತ್ತದೆ, ಇದು ಸರ್ವರ್ ನೀತಿಯಲ್ಲ, ಒದಗಿಸುವಿಕೆಯ ಸಮಸ್ಯೆ.

ನೀತಿ ಬದಲಿಸುವ ಮೊದಲು ಒಂದು ಪ್ರಯತ್ನ ಓದಿ

ಗೇಟ್‌ವೇ ಮತ್ತು ದೃಢೀಕರಣ ಸರ್ವರ್‌ನಲ್ಲಿ ಒಂದು ಅನುಮೋದಿತ ಪ್ರಯತ್ನವನ್ನು ಸೆರೆಹಿಡಿಯಿರಿ. RADIUS ವಿನಂತಿಯಲ್ಲಿ EAP-Message ಗುಣಲಕ್ಷಣಗಳನ್ನು ಹುಡುಕಿ. ಅವು ಇರುವುದು ರವಾನೆ ಮಾರ್ಗ ಬಳಕೆಯಲ್ಲಿದೆ ಎಂದು ಹೇಳುತ್ತದೆ; ಇಲ್ಲದಿರುವುದು ರುಜುವಾತು ವಿನಿಮಯದತ್ತ ಸೂಚಿಸುತ್ತದೆ.

Linux ಗೇಟ್‌ವೇನಲ್ಲಿ RADIUS ಪೋರ್ಟ್‌ನಲ್ಲಿ ಸೆರೆಹಿಡಿಯುವುದು ತಂತಿಯ ಮೇಲೆ ಯಾವ ಗುಣಲಕ್ಷಣಗಳಿವೆ ಎಂದು ತೋರಿಸುತ್ತದೆ:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

ನಂತರ ತಿರಸ್ಕಾರ ಬಿಂದುವನ್ನು ಹೋಲಿಸಿ. ಯಾವುದೇ RADIUS ಪ್ಯಾಕೆಟ್‌ಗಿಂತ ಮೊದಲು ಗೇಟ್‌ವೇನಲ್ಲಿ ವೈಫಲ್ಯ ಎಂದರೆ ಕ್ಲೈಂಟ್ ಮತ್ತು ಗೇಟ್‌ವೇ ವಿಧಾನದ ಬಗ್ಗೆ ಒಪ್ಪಿರಲಿಲ್ಲ. EAP ಗುಣಲಕ್ಷಣಗಳನ್ನು ಹೊತ್ತ RADIUS ತಿರಸ್ಕಾರ ಎಂದರೆ ತುದಿಗಳು ವಿಧಾನ ಚಲಾಯಿಸಿ ಅವುಗಳಲ್ಲಿ ಒಂದು ಫಲಿತಾಂಶವನ್ನು ತಿರಸ್ಕರಿಸಿತು.

ಸ್ಥಳಾಂತರವನ್ನು ಆರಂಭದಿಂದ ಕೊನೆಯವರೆಗಿನ ಒಂದೇ ಬದಲಾವಣೆಯಾಗಿ ಯೋಜಿಸಿ

ವಿಧಾನ ಬದಲಿಸುವುದು ಎಂದರೆ ಕ್ಲೈಂಟ್ ಸಂರಚನೆ, ಗೇಟ್‌ವೇನ ವಾಹಕ ಬೆಂಬಲ, ಸರ್ವರ್‌ನ ವಿಧಾನ ನೀತಿ ಮತ್ತು ರುಜುವಾತು ಸಂಗ್ರಹವನ್ನು ಒಟ್ಟಿಗೆ ಬದಲಿಸುವುದು. ಈ ಕ್ರಮದಲ್ಲಿ ಮಾಡಿ ಮತ್ತು ಹೊಸದು ಸಾಬೀತಾಗುವವರೆಗೆ ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಮಾರ್ಗ ಇಟ್ಟುಕೊಳ್ಳಿ. ಕೇವಲ ಸರ್ವರ್ ಬದಿಯ ಬದಲಾವಣೆ ಊಹೆ, ಮತ್ತು ಅದು ಸಾಮಾನ್ಯವಾಗಿ ಕೆಲಸ ಮಾಡುತ್ತಿದ್ದ ಕ್ಲೈಂಟ್‌ಗಳನ್ನು ಒಡೆಯುತ್ತದೆ. ಗುಂಪನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಒಂದು ಪರೀಕ್ಷಾ ಗುರುತಿನ ಮೇಲೆ ಬದಲಾವಣೆ ಸಿದ್ಧಪಡಿಸಿ.

ಕೆಲಸ ಮಾಡುವ ಸಂಯೋಜನೆಯನ್ನು ದಾಖಲಿಸಿ: VPN ಪ್ರೋಟೋಕಾಲ್, EAP ವಾಹಕ, ಸಹವರ್ತಿ ವಿಧಾನ, ಸರ್ವರ್ ವಿಧಾನ, ರುಜುವಾತು ಪ್ರಕಾರ ಮತ್ತು ಸರ್ವರ್ ಗುರುತು ಪರಿಶೀಲನೆ.

ಆಡಳಿತಾತ್ಮಕ ಲಾಗಿನ್ AAA ಅನ್ನು VPN ದೃಢೀಕರಣದಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿಡಿ, ಕಾರ್ಯವು ಸ್ಪಷ್ಟವಾಗಿ ಎರಡನ್ನೂ ಒಳಗೊಳ್ಳದ ಹೊರತು. ದೂರಸ್ಥ ಪ್ರವೇಶಕ್ಕಾಗಿ ಉದ್ದೇಶಿಸಿದ ಬದಲಾವಣೆ ಅದನ್ನು ಕೊನೆಗೊಳಿಸುವ ಸಾಧನವನ್ನು ನಿರ್ವಹಿಸುವ ಸಾಮರ್ಥ್ಯವನ್ನು ನಿಮ್ಮಿಂದ ಕಸಿದುಕೊಳ್ಳಬಾರದು.