Эмне үчүн RADIUS VPN колдонуучу атынын ордуна IP дарегин көрөт

strongSwan IKE идентификациясын кандайдыр бир EAP алмашууга чейин RADIUS User-Name ичине сала алат. Каттоо эсебинин идентификациясын ким сурарын чечип, анан бир аракетти байланыштырыңыз.

Windows IKEv2 кардары туташат, ал эми RADIUS суроосу каттоо эсебинин аты болушу керек жерде дарек менен келет. Азырынча эч нерсе ийгиликсиз болгон жок, жана таң калтырган бөлүгү да ушунда: шлюз кардар IKE катмарында көрсөткөн идентификацияны билдирет. Сиздин бэкенд каалаган колдонуучу аты али боло элек өзүнчө EAP алмашуудан келиши мүмкүн. Каттоо эсебин өзгөртүүдөн мурун аны ким сурарын чечиңиз.

Бир туташууда эки идентификация жүрөт

Бир туташууда эки ат пайда болушу мүмкүн. IKE идентификациясы туннелди орнотуу учурунда өнөктү аныктайт, ал эми eap-radius плагини аны башында RADIUS User-Name ичине көчүрөт. EAP идентификациясы башка маани, ал колдонуучуну аутентификациялоого колдонулат жана эч ким сурабаса, эч качан жөнөтүлбөшү мүмкүн.

Ошондуктан RADIUS журналы каттоо эсеби бар жана сырсөз туура болгондо даректи көрсөтүшү мүмкүн. Бэкендден туура эмес катмар жөнүндө суралып жатат. RADIUS атрибуту тандалган ат үчүн транспорт гана.

Шлюзден EAP идентификациясын суроону өтүнүңүз

Колдоого алынган бир жөндөө шлюзге аутентификацияны RADIUSка өткөрүүдөн мурун EAP идентификациясын суроого мүмкүндүк берет. Туташуунун алыскы аутентификация бөлүмүндө ыкманы eap-radius кылып коюңуз жана EAP идентификациясын ачык сураңыз. Төмөнкү үзүндү өз файлында эмес, бар болгон туташуу блогынын ичинде болот. Синтаксисти башка орнотуудан көчүрүүдөн мурун туташууну жана конфигурация бэкендин текшериңиз.

remote {
    auth = eap-radius
    eap_id = %any
}

Ошону менен бэкенд IKE дарегинин ордуна кардар EAP алмашууда берген идентификацияны алат. Туташууда башка эч нерсе өзгөрбөйт.

Же RADIUS EAP алмашуусун баштасын

Башка жөндөө биринчи кадамды RADIUS тарабына коёт. Плагин баштапкы идентификация жообун күтүүнүн ордуна EAP-Start белгисин жөнөтө алат, бул серверге алмашууну башкарууга мүмкүндүк берет. Бул плагин деңгээлиндеги конфигурация, ошондуктан плагинди колдонгон ар бир туташууга таасир этет.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Экөөнү тең күйгүзүп үмүт кылуунун ордуна RADIUS оператору менен бир жөндөөнү тандаңыз. Алар ар башка жумуш агымдарын сүрөттөйт, жана баштоону күткөн сервер сүйлөшүүнү баштаган шлюзду сөзсүз башкара албайт. Плагиндин документтери экөөнү тең сүрөттөйт, анын ичинде ар бир кадам кандай идентификация алып жүрөрүн.

Бир аракетти эки журналда байланыштырыңыз

Бир аракетти эки журналда байланыштырыңыз. IKE идентификациясын, анан EAP-Identity алмашуусунун болушун, анан аутентификация кадамы кандай ат аларын караңыз. EAP алмашууга чейин даректи четке каккан бэкенд сиздин көздөгөн идентификацияңыз эч качан көрүнбөй туруп процессти токтото алат.

journalctl -u strongswan -f

Идентификация системасы күткөн колдонуучу атынын так форматын, домен префикси менен кошо, сактаңыз. Дарек формасындагы мааниден эч качан каттоо эсебин ойлоп таппаңыз жана саясат эрежесин аткаруу үчүн аутентификацияны эч качан өчүрбөңүз. EAP идентификациясы — билдирилген ат, жана ыкма аны дагы далилдеши керек. Чыккан атты сыноо жазуусуна жазыңыз, кийинки аракет белгилүү абалдан башталсын.

Эгер түзөтүлгөн агым туура каттоо эсебине жетсе да кабыл алынбаса, кийинки далил — идентификация эмес, EAP ыкмасы жана бэкенд саясаты. Сырсөздү кайра орнотууну кайталоо мурунку протокол катмарында тандалган маанини оңдой албайт.

Тектеш макалалар