eapol_test iwwer eng VPN: brauch den RADIUS-Austausch Schicht 2?

Frot en Labor-Switchport un, fir eapol_test auszeféieren — an du hues d'Instrument wahrscheinlech falsch gelies. De Peer an de RADIUS-Client liewen allebéid an där eenzeger Binärdatei, dofir ass déi eenzeg Konversatioun, déi d'Maschinn verléisst, den RADIUS-Austausch selwer. En gerouteten Tunnel tëscht dem Testhost an dem Authentifikatiounsserver ass déi ganz Netzwierkufuerderung. De physesche 802.1X-Wee ass eng aner Saach, déi s de vläicht nach muss testen, an et ass net dës.

Firwat den Numm d'Leit op d'Sich no engem Switchport schéckt

EAPOL ass de Frameformat, deen e Supplicant an e Switch op engem LAN benotzen, an d'Instrument léint den Numm, well et aus där Welt erausgewuess ass. Geliefert gëtt en Testprogramm, deen d'Peer-Zoustännesmaschinn an de RADIUS-Client an engem Prozess dréit, dofir begéine sech déi zwou Hälften vun enger 802.1X-Konversatioun ni iwwer eng Leitung. Den Numm ass Geschicht, keng Topologiefuerderung.

D'Leit froe weider no dem Port, well de Programm op dem Verhalen vun engem Authenticator sëtzt, an dat kléngt wéi Hardware. Säi Leem reproduzéiert d'Zoustännesmaschinn vum Authenticator, dofir gëtt en Test ouni Access Point am Raum fäerdeg; déi kompiléiert Binärdatei verbënnt den EAP-Peer vu wpa_supplicant mat dem RADIUS-Client vun hostapd. De Switch ewechhuelen hëlt den EAPOL-Sprong ewech, net d'Authentifikatiounslogik. Wat bleift, ass en Client-Server-Austausch tëscht zwee IP-Hoste.

Verfollegt een RADIUS-Austausch Sprong fir Sprong

Verfollegt een eenzegen Versuch, an de Wee ass kuerz. De Peer bannen an eapol_test produzéiert eng EAP-Response fir d'Method, déi s de konfiguréiert hues, an de RADIUS-Client am selwechte Prozess setzt se an eng Access-Request, a dréit d'Payload an EAP-Message-Attributen nieft engem Message-Authenticator. Dat Datagramm ass un de Server um UDP-Port 1812 adresséiert an et verléisst den Host wéi all anert IP-Paket, an do kënnt den Tunnel drabber. De Server bewäert et géint seng Politik a seng Methodemodulen an äntwert dann mat Access-Challenge, Access-Accept oder Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

D'Binärdatei hëlt d'Serveradress, de Port an de gedeelten Geheimnis vun der Kommandozeil, an d'Method an d'Umeldungsdaten aus engem Konfiguratiounsblock am wpa_supplicant-Stil. Näischt an deem Opruff hänkt vun enger Noperschaft vun der Schicht 2 of: -a gëtt duerch Routing erreecht, an eng VPN, déi et routet, ass genuch. Wann den Tunnel d'Datagramm fale léisst, feelt den Test genee sou wéi géint en onereechbaren Server op engem flaachen LAN.

D'Binärdatei an d'Serverpolitik sinn ënnerschiddlech Lëschten

Zwou onofhängeg Lëschten entscheeden, ob eng Method duerchkënnt, an se ze verwiesselen kascht en Dag. Déi éischt Lëscht ass an d'Binärdatei kompiléiert: d'Build-Konfiguratioun wielt, wéi eng EAP-Methoden et gëtt, dofir kann e Build ouni eng Method net driwwer verhandelen, egal wat de Server erlaabt. Déi zweet Lëscht lieft um Server, wou d'Politik seet, wéi eng vun den ënnerstëtzten Methoden dës Clientklass benotze kann. Fir duerchzekommen brauch et eng Schnëttfläch, an keng Lëscht kann eng Lach an der anerer fëllen.

Kontrolléiert déi éischt Lëscht, ier s de Server beschëllegt. Sicht den Numm vun der Method an der installéierter Binärdatei oder liest d'Build-Konfiguratioun, aus där se staamt. Wann d'Method feelt, baut nei, amplaz d'RADIUS-Politik ze änneren; wann se do ass an den Austausch nach ëmmer feelt, ass de Problem op Umeldungsdaten, Politik oder Zertifikatsvertrauen geplënnert.

Wat en Duerchgang nach ëmmer net deckt

Eng erfollegräich Ausféierung beweist eng Method, fir ee Set Umeldungsdaten, géint eng RADIUS-Politik, iwwer ee Netzwierkwee. Si üübt weder de Radio vum Access Point nach d'EAPOL-Behandlung vun engem Switch, nach d'VLAN-Zouweisung no der Authentifikatioun, nach de Wee, wéi en VPN-Konzentrator sech an dee selwechte Server integréiert. Déi Komponenten waren ni um geteste Wee. Behandelt d'Resultat als begrenzt Beweis, a sot, wéi eng Grenz et deckt, wann dir et mellt.

Den nëtzlechen Opzeechnung ass, wat de Server an de Prozess jiddwereen observéiert huet: wéi eng Method ausgehandelt gouf, wou den Austausch gestoppt huet, a wat de Server geloggt huet. Halt gedeelte Geheimnisser a privat Schlësselen aus där Opzeechnung eraus.

Checklëscht, ier s d'Resultat zitéiert

Ier een d'Ausgab als Genehmegung behandelt, bestätegt véier Saachen. De Build enthält déi getest Method, den RADIUS-Endpunkt an de gedeelte Geheimnis gehéieren zu der Ëmgéigend, déi getest gëtt, d'Serverpolitik léisst dës Testidentitéit zou, an den Netzwierkwee ass vun der selwechter Klass wéi dee, dee Produktiounscliente benotzen. Nennt dann, wat den Ausféierung net beréiert huet: Access Point, Switch, VLAN an Konzentratorintegratioun brauchen jiddwereen seng eege Linn am Testplang.

Zwee Tester mat zwee Besëtzer schloen eng eenzeg zweedeiteg Genehmegung. Den Ausféierung mat eapol_test beäntwert d'Method-an-Server-Fro; den Zougangsservice beäntwert d'Duerchsetzungsfro.