Firwat RADIUS eng IP-Adress amplaz vum VPN-Benotzernumm gesäit

strongSwan kann d’IKE-Identitéit an RADIUS User-Name setzen, ier en EAP-Austausch geschitt. Entscheet, wien d’Kontoidentitéit freet, a korreléiert duerno een Versuch.

E Windows-IKEv2-Client verbënnt sech, an d’RADIUS-Ufro kënnt mat enger Adress un, wou den Kontonumm misst stoen. Nach ass näischt fehlgeschloen, an dat ass just de verwirrenden Deel: de Gateway mellt d’Identitéit, déi de Client op der IKE-Schicht presentéiert huet. De Benotzernumm, deen är Backend wëllt, kënnt vläicht aus engem separate EAP-Austausch, deen nach net stattfonnt huet. Entscheet, wien en freet, ier dir de Konto ännert.

Zwou Identitéiten reesen an enger Verbindung

An enger Verbindung kënnen zwee Nimm optrieden. D’IKE-Identitéit identifizéiert de Peer beim Tunnelsetup, an den eap-radius-Plugin kopéiert se am Ufank an RADIUS User-Name. D’EAP-Identitéit ass en anere Wäert, gëtt fir d’Benotzerauthentifizéierung benotzt, a si gëtt vläicht ni geschéckt, wann keen se freet.

Dofir kann de RADIUS-Log eng Adress weisen, während de Konto existéiert an d’Passwuert richteg ass. De Backend gëtt no der falscher Schicht gefrot. D’RADIUS-Attribut ass just den Transport fir den Numm, deen ausgewielt gouf.

Frot de Gateway, eng EAP-Identitéit ze froen

Eng ënnerstëtzt Usuerdnung léisst de Gateway d’EAP-Identitéit froen, ier d’Authentifizéierung un RADIUS iwwerginn gëtt. Am Beräich fir d’Remote-Authentifizéierung vun der Verbindung setzt dir d’Method op eap-radius a freet d’EAP-Identitéit ausdrécklech. De Fragment hei drënner gehéiert an e bestehende Verbindungsblock, net an eng eege Datei. Bestätegt d’Verbindung an de Konfiguratiouns-Backend, ier dir Syntax aus enger anerer Deployement kopéiert.

remote {
    auth = eap-radius
    eap_id = %any
}

Domat kritt de Backend d’Identitéit, déi de Client am EAP-Austausch liwwert, amplaz vun der IKE-Adress. Soss ännert sech näischt un der Verbindung.

Oder loosst RADIUS den EAP-Austausch ufänken

Déi aner Usuerdnung leet den éischte Schratt op d’RADIUS-Säit. Den Plugin kann eng EAP-Start-Indikatioun schécken, amplaz op eng éischt Identitéitsäntwert ze waarden, wat et dem Server erlaabt, den Austausch ze féieren. Dat ass Konfiguratioun op Plugin-Niveau, also beaflosst et all Verbindung, déi de Plugin benotzt.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Wielt eng Usuerdnung mam RADIUS-Betriber, amplaz béid anzeschalten an ze hoffen. Si beschreiwen ënnerschiddlech Aarbechtsflëss, an en Server, dee sech erwaart ze ufänken, kënnt net onbedéngt mat engem Gateway eens, deen d’Gespréich ufänkt. D’Plugin-Dokumentatioun beschreift béid, inklusiv wéi eng Identitéit all Schratt dréit.

Verfollegt een Versuch an allen zwee Loggen

Korreléiert een eenzegen Versuch an allen zwee Loggen. Kuckt d’IKE-Identitéit, duerno ob en EAP-Identity-Austausch geschitt, an duerno wéi en Numm den Authentifizéierungsschratt kritt. En Backend, deen d’Adress virum EAP-Austausch refuséiert, kann de Prozess stoppen, ier är virgesinn Identitéit iwwerhaapt ze gesi kritt.

journalctl -u strongswan -f

Hält dat genee Benotzernummformat bäi, dat den Identitéitssystem erwaart, inklusiv de Domain-Prefix. Erfënnt ni en Konto aus engem adressfërmegen Wäert, a schalt ni d’Authentifizéierung aus, fir eng Politikregel ze erfëllen. Eng EAP-Identitéit ass en behaapten Numm, an d’Method muss en trotzdem beweisen. Schreift den Numm, deen dobäi erauskënnt, an den Testrekord, sou datt den nächsten Versuch vun engem bekannten Zoustand ufänkt.

Wann de korrigéierte Floss de richtegen Konto erreecht a nach ëmmer refuséiert gëtt, ass déi nächst Beweis d’EAP-Method an d’Politik vum Backend, net d’Identitéit. D’Widderhuele vun engem Passwuertreset kann en Wäert net reparéieren, deen op enger fréierer Protokollschicht ausgewielt gouf.

Ähnlech Artikelen