VPN аркылуу eapol_test: RADIUS алмашуусуна 2-катмар керекпи?

Лабораториялык коммутатор портун сураңыз, eapol_test иштетүү үчүн — жана аспапты туура эмес түшүнгөн болушуңуз мүмкүн. Peer менен RADIUS кардары экөө тең ошол бир бинардык файлдын ичинде жашайт, ошондуктан машинадан чыккан жалгыз сүйлөшүү — RADIUS алмашуусунун өзү. Сыноо хосту менен аутентификация серверинин ортосундагы маршрутталган туннель — бүткүл тармактык талап. Физикалык 802.1X жолу — дагы сыноо керек болушу мүмкүн болгон башка нерсе, жана бул ал эмес.

Эмне үчүн ат адамдарды коммутатор портун издеп жөнөтөт

EAPOL — supplicant менен коммутатор LAN-да колдонгон кадр форматы, ал эми аспап атты ошол дүйнөдөн өскөндүктөн карызга алган. Жеткирилген нерсе — peer абал машинасын жана RADIUS кардарын бир процессте алып жүргөн сыноо программасы, ошондуктан 802.1X сүйлөшүүсүнүн эки жарымы эч качан зым үстүндө жолугушпайт. Ат — тарых, топология талабы эмес.

Адамдар дагы эле порт сурашат, анткени программа аутентификатордун жүрүм-турумуна таянат, ал эми бул жабдууга окшош. Анын желими аутентификатордун абал машинасын кайталайт, ошондуктан сыноо бөлмөдө кирүү чекити жок эле бүтөт; компиляцияланган бинар wpa_supplicant'тын EAP peer'ин hostapd'тын RADIUS кардары менен байланыштырат. Коммутаторду алып салуу EAPOL секириктерин алып салат, аутентификация логикасын эмес. Калганы — эки IP хосттун ортосундагы кардар-сервер алмашуусу.

Бир RADIUS алмашуусун секирик-секирик байкаңыз

Бир аракетти байкаңыз, жол кыска. eapol_test ичиндеги peer сиз конфигурациялаган ыкма үчүн EAP-Response жасайт, ал эми ошол эле процесстин RADIUS кардары аны Access-Request ичине салат, жүктү Message-Authenticator жанындагы EAP-Message атрибуттарында ташыйт. Бул датаграмма UDP 1812 портунда серверге адрестелет жана башка IP пакет сыяктуу хосттон чыгат, туннель ушул жерде кирет. Сервер аны өз саясаты жана ыкма модулдары боюнча баалайт, анан Access-Challenge, Access-Accept же Access-Reject менен жооп берет.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Бинар сервердин дарегин, портун жана жалпы сырын буйрук сабынан, ал эми ыкма менен каттоо маалыматтарын wpa_supplicant стилиндеги конфигурация блогун алат. Бул чакырууда эч нерсе 2-катмардын коңшулугуна көз каранды эмес: -a маршруттоо аркылуу жетет, жана аны маршруттаган VPN жетиштүү. Эгер туннель датаграмманы таштап кетсе, сыноо тегиз LAN-дагы жетүүгө мүмкүн болбогон серверге каршы сыяктуу эле ишке ашпайт.

Бинар менен сервердин саясаты ар башка тизмелер

Ыкманын өтүшүн эки көз карандысыз тизме чечет, аларды аралаштыруу бир күндү жоготот. Биринчи тизме бинарга компиляцияланган: build конфигурациясы кайсы EAP ыкмалары бар экенин тандайт, ошондуктан ыкмасыз build сервер эмнени уруксат кылса да аны менен сүйлөшө албайт. Экинчи тизме серверде жашайт, анда саясат колдоого алынган ыкмалардын кайсынысын бул кардар классы колдоно аларын айтат. Өтүү үчүн кесилиш керек, жана эч бир тизме экинчисинин кемтигин толтура албайт.

Серверди күнөөлөөдөн мурун ошол биринчи тизмени текшериңиз. Орнотулган бинардан ыкманын атын издеңиз же ал келген build конфигурациясын окуңуз. Эгер ыкма жок болсо, RADIUS саясатын оңдоонун ордуна кайра куруңуз; эгер ал бар болуп, алмашуу дагы эле ишке ашпаса, маселе каттоо маалыматтарына, саясатка же сертификат ишенимине өткөн.

Өтүү дагы эмнени камтыбайт

Ийгиликтүү иштетүү бир ыкманы далилдейт, бир каттоо маалыматтар топтому үчүн, бир RADIUS саясатына каршы, бир тармактык жол боюнча. Ал кирүү чекитинин радиосун, коммутатордун EAPOL иштетүүсүн, аутентификациядан кийинки VLAN дайындоосун же VPN концентраторунун ошол эле сервер менен кантип интеграцияланышын машыктырбайт. Бул компоненттер сыналган жолдо эч качан болгон эмес. Жыйынтыкты чектелген далил катары кабыл алыңыз жана отчет берип жатканда ал кайсы чекти камтый турганын айтыңыз.

Пайдалуу жазуу — сервер менен процесс ар бири эмнени байкаганы: кайсы ыкма сүйлөшүлдү, алмашуу кайда токтоду жана сервер эмнени журналдады. Жалпы сырларды жана жеке ачкычтарды ошол жазуудан тышкары кармаңыз.

Жыйынтыкты келтирүүдөн мурун текшерүү тизмеси

Бирөө чыгарылышты уруксат катары кабыл албастан мурун төрт нерсени ырастаңыз. Build сыналып жаткан ыкманы камтыйт, RADIUS акыркы чекити жана жалпы сыр сыналып жаткан чөйрөгө таандык, сервердин саясаты бул сыноо инсандыгын уруксат кылат, жана тармактык жол өндүрүштүк кардарлар колдонгон жолдун ошол эле классы. Анан иштетүү эмнени кармабаганын атаңыз: кирүү чекити, коммутатор, VLAN жана концентратор интеграциясы ар бири сыноо планында өз саптарын талап кылат.

Эки ээси бар эки сыноо бир бүдөмүк уруксаттан артык. eapol_test иштетүүсү ыкма жана сервер суроосуна жооп берет; кирүү кызматы аткаруу суроосуна жооп берет.