EAP duerch en VPN-Gateway: wien d'Method ofschléisst

Support-Tickete beschreiwen eng feelgeschloen VPN-Umeldung an eng RADIUS-Politik déi eng méi staark Method verlaangt, wéi wann et dat selwecht Problem wier, an dat ass et net. De Gateway hëlt entweder Zougangsdaten un an leet se weider, oder en dréit en EAP-Gespréich tëscht dem Client an dem Authentifizéierungsserver. Wat vun deenen zwee geschitt, entscheet ob eng Ännerung op der Serversäit iwwerhaapt eppes ka reparéieren. Liest den Austausch ier Dir d'Servergrupp ännert.

Zwee Authentifizéierungsweeër déi am Log gläich ausgesinn

Um éischte Wee sammelt de VPN-Gateway e Benotzernumm an e Passwuert a schéckt eng RADIUS Access-Request mat engem Passwuertattribut. Den Authentifizéierungsserver vergläicht se mat sengem Späicher an äntwert ugeholl oder ofgelehnt. De Client féiert ni eng EAP-Method aus, well kee gefrot huet.

Um zweete Wee féieren de Client an den Authentifizéierungsserver d'EAP-Method vum Ufank bis zum Enn aus, an de Gateway leet EAP-Message-Attributer tëscht hinnen weider. De Gateway schléisst nach ëmmer den äusseren RADIUS-Gespréich of, awer d'Logik vun der Method läit op béide Enden.

Béid Weeër produzéieren eng Zeil am Log déi seet datt d'Authentifizéierung feelgeschloen ass. Nëmmen den zweete kann dovun ofhänken wéi eng EAP-Method de Server léiwer huet, an nëmmen den éischte vu wéi de Gateway d'Passwuert liest. Se als austauschbar ze behandelen ass de Grond firwat Teams en Dag domat verbréngen Servergruppe fir e Client z'änneren dee ni PEAP géif schwätzen.

Wou d'Method tatsächlech leeft

RFC 3579 definéiert d'Duerchgangsregel: den NAS dréit EAP-Paketen an RADIUS-Attributer an brauch kee methodspezifesche Code fir all EAP-Typ. Dofir kann e Gateway PEAP an EAP-TLS ënnerstëtzen ouni eng vun deenen zwee z'implémentéieren.

En Gateway deen e Passwuert schéckt dréit keen PEAP, och wann de Backend PEAP vun engem anere Client géif unhuelen. PEAP an der Serverpolitik aschalten setzt keng Method bei e Client dee ni eng ugebueden huet.

PPP-Authentifizéierungsastellungen gehéieren zum PPP-Service. Si konfiguréieren net stëll all IPsec- oder ale XAuth-Wee ëm dee selwechten AAA-Server benotzt, dofir kann eng Ännerung déi fir eng Zougangsaart funktionéiert déi aner onberéiert loossen.

Wat den NAS muss ënnerstëtzen

Den Duerchgang verréckelt d'Fuerderung vum Methodcode op d'Dréierënnerstëtzung. De Gateway muss EAP iwwer säi VPN-Protokoll kënne droen, an de RADIUS-Client drop muss EAP-Message-Attributer vun deenen Gréissten kënne schécken a kréien.

Bei IKEv2 ass EAP Deel vun engem definéierten Authentifizéierungsfloss, an d'Identitéits- an Trauensprüfunge vum Server komme vun deem Floss. Eng PEAP-Etiquette déi vun enger 802.1X-Installatioun geléint ass, iwwerdréit sech net automatesch, well d'Verhandlungen ronderëm anescht sinn.

D'Clientsäit huet och Fuerderungen. Si muss fir d'Method konfiguréiert sinn, dem Serverzertifikat vertrauen dat d'Method presentéiert, an Zougangsdaten hunn déi d'Method ka benotzen. Eng zertifikatsbaséiert Method ouni Clientzertifikat feelt ier RADIUS eppes gesäit, an dat ass e Bereetstellungsproblem an net eng Serverpolitik.

Liest ee Versuch ier Dir d'Politik ännert

Fänkt een ugehollenen Versuch um Gateway an um Authentifizéierungsserver of. Sicht EAP-Message-Attributer an der RADIUS-Ufro. Hir Presenz seet datt den Duerchgangswee benotzt gëtt; hir Absenz weist op en Zougangsdaten-Austausch hin.

Op engem Linux-Gateway weist eng Opnam um RADIUS-Port wéi eng Attributer um Kabel sinn:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Vergläicht dann de Punkt vun der Oflehnung. E Feeler um Gateway virun engem RADIUS-Paket heescht datt de Client an de Gateway sech iwwer d'Method net eens waren. Eng RADIUS-Oflehnung mat EAP-Attributer heescht datt d'Enden d'Method ausgefouert hunn an eng dovun d'Resultat ofgelehnt huet.

Plangt d'Migratioun als eng eenzeg Ännerung vun Enn zu Enn

D'Method z'änneren heescht d'Clientkonfiguratioun, d'Dréierënnerstëtzung vum Gateway, d'Methodenpolitik vum Server an de Späicher vun den Zougangsdaten zesummen z'änneren. Maacht dat an deer Reihenfolg a behält en funktionéierende Wee bis deen neie bewisen ass. Eng Ännerung nëmmen op der Serversäit ass eng Vermutung an et brécht meeschtens d'Clienten déi funktionéiert hunn. Bereet d'Ännerung op enger Testidentitéit vir ier Dir d'Grupp beréiert.

Schreift d'Kombinatioun op déi funktionéiert: VPN-Protokoll, EAP-Dréier, Method vum Partner, Method vum Server, Typ vun den Zougangsdaten an Identitéitsprüfung vum Server.

Haalt administrativen AAA-Login getrennt vun der VPN-Authentifizéierung, ausser d'Aufgab enthält ausdrécklech béides. Eng Ännerung fir Fernzougang soll Iech net d'Méiglechkeet huelen d'Apparat ze verwalten dat se ofschléisst.