EAP oder Client-Zertifikater? IKEv2-Authentifikatioun entscheeden

Ären Gateway kann seng eege Identitéit mat engem Zertifikat beweise wärend hien Är duerch EAP beweist, an déi Kombinatioun ass gewéinlech an net widderspréchlech. Déi zwou Mechanismen äntweren op verschidde Froen: ass dësen Endpunkt deen ech erwaarden, an ass dëse Benotzer oder dëst Gerät erlaabt. EAP an engem Profil ze gesinn schalt d’Servervalidéierung net aus. Et ass d’Lies vum Profil als eng eenzeg Astellung, déi d’Leit de falschen Nohweis zrécksetze léisst.

Bestëmmt wéi eng Behauptung versot huet, ier Dir een vun deenen zwee Objete beréiert. D’Etapp vum Feeler seet et Iech, wann Dir se an der Rei liest.

Zwee Nohweisen, zwou Behauptungen

E Serverzertifikat bënnt en Numm un e Schlëssel, an de Client kontrolléiert déi Bindung géint säi Vertrauensspäicher. E Clientzertifikat bënnt eng Identitéit un e Schlëssel, an de Gateway kontrolléiert ob dat virgeluecht Zertifikat sech un eppes ketten, deem hien vertraut. EAP dréit en Authentifikatiounsausdausch, deem säin Inhalt vun der gewielter Method ofhänkt. Dat sinn dräi Strukturen mat ënnerschiddlecher Liewensdauer, ënnerschiddlechen Eegentümer an ënnerschiddleche Feelerformen.

Eng Passphrase déi e private Schlëssel opmaacht ass kee Kontpasswuert, och wann déi zwou Ufroen a Sekonnen ofeneen erschéngen. Déi eng ass lokal am Schlësselspäicher vum Gerät, an déi aner gëtt vun engem Authentifikatiounsserver hannert dem Gateway validéiert.

EAP ass e Behälter, keng Method

EAP ass e Kader: de Gateway an de Client verhandele eng Method, an d’Method entscheet ob e Passwuert, en Token, en tunnelléierten internen Ausdausch oder en Zertifikat bedeelegt ass, wéi d’ strongSwan-Dokumentatioun zu IKEv2 et duerstellt. Dofir gesäit EAP-TLS vun der Clientssäit guer net wéi EAP-MSCHAPv2 aus, obwuel béid am Menü als EAP erschéngen. E Profil deen nëmmen EAP nennt huet Iech net gesot wat de Benotzer gefrot gëtt.

Liest d’Method an de Backend zesummen. De Backend bestëmmt d’Kontoformat, d’Verhalen beim Spären an wat en Zrécksetze vum Passwuert tatsächlech ännert, an näischt dovun ass am Clientprofil ze gesinn.

Déi gemëscht Ausrollung ass normal

Serverzertifikat plus EAP fir de Benotzer ass d’Form déi déi meescht Fernzougrëffs-Gatewayen ausrollen, well se dem Client en iwwerpréifbaren Endpunkt gëtt an dem Bedreiwer eng Identitéit pro Benotzer an engem zentrale Kontospäicher. Et gëtt och Ausrollunge mat Clientzertifikater, meeschtens do wou d’Geräteidentitéit méi wichteg ass wéi e Passwuert. Béid si legitim, an de Feeler ass unzehuelen datt dat wat Dir d’lescht Woch gesinn hutt dat ass wat virun Iech steet.

Frot de Bedreiwer no der dokumentéierter Method an dem Kontoformat amplaz se aus Feldnimm an engem Client ofzeleeden.

Entscheedung op Basis vun der Feeleretapp

Setzt d’Observatiounen an d’Rei. E Vertrauensfeeler virun all Benotzerufro ass e Serverzertifikatsproblem an kee Passwuert reparéiert en. Eng Ufro op déi eng Oflehnung folgt ass e Benotzer-Authentifikatiounsproblem, mat der EAP-Method an dem Backend als Verdächtegen. Eng erfollegräich Authentifikatioun op déi e child-SA-Feeler folgt ass keent vun deenen zwee.

Zwee weider Ënnerscheeder zielen. E Client deen d’Serverzertifikat oflehnt mellt meeschtens eng Numm-Diskrepanz oder eng onbekannt Autoritéit, wat eng Fro vum Vertrauensspäicher ass. E Gateway deen de Benotzer oflehnt loggt dacks d’EAP-Method an eng Ursachkategorie, wat eng Fro vum Konto oder der Politik ass.

Déi zwee Modeller bedreiwen

Bei Zertifikater ass d’Aarbecht Ausstellung, Erneierung, Widderruff an d’Ewechhuele vu verluerene Geräter, an et geschitt no engem Zäitplang deen Dir kontrolléiert. Bei EAP ass d’Aarbecht de Liewenszyklus vum Konto, d’Methodenënnerstëtzung op all Clientplattform an deen zweeten Faktor deen de Backend verlaangt. Kee Modell ass abstrakt méi bëlleg; si belaaschten ënnerschiddlech Teams. Schreift op wéi een Är Ausrollung tatsächlech benotzt, well d’Supportskripten sech méi ënnerscheeden wéi d’Konfiguratioun.

Hält se getrennt an Ären Notizen. En Zertifikatsaflaf produzéiert e Feeler op engem Datum, eng Kontospär produzéiert e Feeler no enger Passwuertännerung, an eng Methodendiskrepanz produzéiert e Feeler just op enger Plattform.

Nodeems d’Identitéit acceptéiert gouf

Authentifikatioun ass eng Paart. D’child-Sécherheetsassociatioun, d’Traffikselektoren, DNS an d’Berechtegungen vun der Applikatioun selwer si spéider Paarten, an all eenzel versot no sengen eegene Bedéngungen. Eng acceptéiert Identitéit déi néierens ukommt ass kee Authentifikatiounsproblem.

Notéiert d’Method, de benotzten Konto oder Zertifikat an d’Etapp déi versot huet. Dës Notiz mécht den nächsten Tëschefall zu enger Nofro amplaz vun engem Experiment.