VPN шлюзу аркылуу EAP: ыкманы ким бүтүрөт

Колдоо билеттери ийгиликсиз VPN кирүүнү жана күчтүүрөөк ыкманы талап кылган RADIUS саясатын бир эле маселе катары сүрөттөйт, бирок андай эмес. Шлюз же каттоо маалыматтарын кабыл алып өткөрөт, же кардар менен аутентификация серверинин ортосунда EAP сүйлөшүүсүн алып жүрөт. Кайсынысы болуп жатканы сервер тараптагы өзгөрүү бир нерсени оңдой аларын аныктайт. Сервер тобун оңдоодон мурун алмашууну окуңуз.

Журналда бирдей көрүнгөн эки аутентификация жолу

Биринчи жолдо VPN шлюзу колдонуучунун атын жана сырсөздү чогултуп, сырсөз атрибуту менен RADIUS Access-Request жөнөтөт. Аутентификация сервери аны өз кампасы менен салыштырып, кабыл алуу же баш тартуу деп жооп берет. Кардар EAP ыкмасын эч качан аткарбайт, анткени эч ким талап кылган эмес.

Экинчи жолдо кардар менен аутентификация сервери EAP ыкмасын башынан аягына чейин аткарат, шлюз болсо алардын ортосунда EAP-Message атрибуттарын өткөрөт. Шлюз сырткы RADIUS сүйлөшүүсүн дагы эле бүтүрөт, бирок ыкманын логикасы эки учта турат.

Эки жол тең журналда аутентификация ийгиликсиз болду деген сап калтырат. Сервер кайсы EAP ыкмасын артык көрөрү экинчисине гана таасир этет, ал эми шлюздун сырсөздү кантип окушу биринчисине гана. Аларды алмаштырууга болот деп эсептөө — командалардын PEAP сүйлөбөй турган кардар үчүн бир күнүн сервер топторун өзгөртүүгө жумшашынын себеби.

Ыкма чындыгында кайда иштейт

RFC 3579 өткөрүү тартибин аныктайт: NAS EAP пакеттерин RADIUS атрибуттарында алып жүрөт жана ар бир EAP түрү үчүн ыкмага тиешелүү код керек эмес. Ошондуктан шлюз PEAP менен EAP-TLS'ти экөөнү тең ишке ашырбай эле колдой алат.

Сырсөз жөнөткөн шлюз PEAP алып жүрбөйт, арткы система башка кардардан PEAP кабыл алса да. Сервер саясатында PEAP күйгүзүү эч качан сунуш кылбаган кардарга ыкма кошпойт.

PPP аутентификация жөндөөлөрү PPP кызматына таандык. Алар ошол эле AAA серверин колдонгон ар бир IPsec же эски XAuth жолун унчукпай кайра конфигурациялабайт, ошондуктан бир кирүү түрү үчүн иштеген өзгөрүү экинчисин тийбей калтырышы мүмкүн.

NAS эмнени колдошу керек

Өткөрүү талапты ыкма кодунан алып жүрүүчүнү колдоого жылдырат. Шлюз EAP'ды өз VPN протоколу аркылуу алып жүрө алышы керек, ал эми анын үстүндөгү RADIUS кардары тиешелүү өлчөмдөгү EAP-Message атрибуттарын жөнөтүп, кабыл ала алышы керек.

IKEv2 үчүн EAP аныкталган аутентификация агымынын бөлүгү, ал эми сервердин инсандыгы жана ишеним текшерүүлөрү ошол агымдан келет. 802.1X жайылтуусунан алынган PEAP белгиси өзүнөн өзү өтпөйт, анткени анын айланасындагы сүйлөшүү башкача.

Кардар тарапта да талаптар бар. Ал ыкма үчүн конфигурацияланышы, ыкма сунуш кылган сервер сертификатына ишениши жана ыкма колдоно ала турган каттоо маалыматтары болушу керек. Кардар сертификаты жок сертификатка негизделген ыкма RADIUS бир нерсени көрө электе эле ийгиликсиз болот, бул сервер саясаты эмес, жабдуу маселеси.

Саясатты өзгөртүүдөн мурун бир аракетти окуңуз

Шлюзде жана аутентификация серверинде бир бекитилген аракетти жазып алыңыз. RADIUS суроосунда EAP-Message атрибуттарын издеңиз. Алардын бардыгы өткөрүү жолу колдонулуп жатканын билдирет; жоктугу каттоо маалыматтарынын алмашуусун көрсөтөт.

Linux шлюзунда RADIUS портундагы жазуу зымда кайсы атрибуттар бар экенин көрсөтөт:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Андан кийин баш тартуу чекитин салыштырыңыз. RADIUS пакетинен мурун шлюздеги ийгиликсиздик кардар менен шлюз ыкма боюнча макулдашпаганын билдирет. EAP атрибуттары бар RADIUS баш тартуусу учтар ыкманы аткарганын жана бири натыйжаны четке какканын билдирет.

Көчүрүүнү башынан аягына чейинки бир өзгөрүү катары пландаңыз

Ыкманы өзгөртүү кардардын конфигурациясын, шлюздун алып жүрүүчүнү колдоосун, сервердин ыкма саясатын жана каттоо маалыматтарынын кампасын чогуу өзгөртүүнү билдирет. Ушул тартипте жасаңыз жана жаңысы далилденгенге чейин иштеген жолду сактаңыз. Сервер тарапта гана өзгөртүү — божомол, ал адатта иштеп турган кардарларды бузат. Топко тийүүдөн мурун өзгөрүүнү бир сынак инсандыгында даярдаңыз.

Иштеген айкалышты жазып алыңыз: VPN протоколу, EAP алып жүрүүчү, өнөктүн ыкмасы, сервердин ыкмасы, каттоо маалыматынын түрү жана сервердин инсандыгын текшерүү.

Административдик AAA кирүүсүн VPN аутентификациясынан өзүнчө кармаңыз, эгер тапшырма экөөнү тең ачык камтыбаса. Алыскы кирүү үчүн көздөлгөн өзгөрүү аны бүтүргөн түзмөнү башкаруу мүмкүнчүлүгүңүздү алып кетпеши керек.