eapol_test per VPN: ar RADIUS mainams reikia 2 sluoksnio?

Paprašykite laboratorijos komutatoriaus prievado, kad galėtumėte paleisti eapol_test — ir tikriausiai neteisingai perskaitėte įrankį. Peer ir RADIUS klientas abu gyvena tame viename dvejetainiame faile, todėl vienintelis pokalbis, paliekantis mašiną, yra pats RADIUS mainas. Maršrutizuotas tunelis tarp bandymo pagrindinio kompiuterio ir autentifikavimo serverio yra visas tinklo reikalavimas. Fizinis 802.1X kelias yra kitas dalykas, kurį galbūt dar reikia išbandyti, ir tai ne šis.

Kodėl pavadinimas siunčia žmones ieškoti komutatoriaus prievado

EAPOL yra kadro formatas, kurį supplicant ir komutatorius naudoja LAN tinkle, o įrankis pasiskolino pavadinimą, nes išaugo iš to pasaulio. Pristatoma bandymo programa, kuri peer būsenos mašiną ir RADIUS klientą neša viename procese, todėl dvi 802.1X pokalbio pusės niekada nesusitinka laidu. Pavadinimas yra istorija, o ne topologijos reikalavimas.

Žmonės vis dar prašo prievado, nes programa remiasi autentifikatoriaus elgsena, o tai skamba kaip aparatinė įranga. Jos klijai atkuria autentifikatoriaus būsenos mašiną, todėl bandymas baigiasi be jokio prieigos taško patalpoje; sukompiliuotas dvejetainis failas susieja wpa_supplicant EAP peer su hostapd RADIUS klientu. Pašalinus komutatorių pašalinamas EAPOL šuolis, o ne autentifikavimo logika. Lieka kliento-serverio mainas tarp dviejų IP pagrindinių kompiuterių.

Sekite vieną RADIUS mainą šuolis po šuolio

Sekite vieną bandymą ir kelias trumpas. eapol_test viduje esantis peer sukuria EAP-Response jūsų sukonfigūruotam metodui, o to paties proceso RADIUS klientas įdeda jį į Access-Request, nešdamas naudingąją apkrovą EAP-Message atributuose šalia Message-Authenticator. Tas datagramas adresuojamas serveriui UDP 1812 prievadu ir palieka pagrindinį kompiuterį kaip bet kuris kitas IP paketas, ir čia įsijungia tunelis. Serveris įvertina jį pagal savo politiką ir metodų modulius, tada atsako Access-Challenge, Access-Accept arba Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Dvejetainis failas ima serverio adresą, prievadą ir bendrą paslaptį iš komandinės eilutės, o metodą ir kredencialus iš wpa_supplicant stiliaus konfigūracijos bloko. Niekas tame iškvietime nepriklauso nuo 2 sluoksnio kaimynystės: -a pasiekiama maršrutizavimu, ir pakanka VPN, kuris tai maršrutizuoja. Jei tunelis numeta datagramą, bandymas nepavyksta lygiai taip pat, kaip prieš nepasiekiamą serverį plokščiame LAN tinkle.

Dvejetainis failas ir serverio politika yra skirtingi sąrašai

Du nepriklausomi sąrašai sprendžia, ar metodas gali praeiti, o jų painiojimas kainuoja dieną. Pirmasis sąrašas sukompiliuotas į dvejetainį failą: kūrimo konfigūracija parenka, kurie EAP metodai egzistuoja, todėl kūrinys be metodo negali dėl jo derėtis, kad ir ką leistų serveris. Antrasis sąrašas gyvena serveryje, kur politika sako, kuriuos iš palaikomų metodų ši klientų klasė gali naudoti. Praėjimui reikia sankirtos, ir nė vienas sąrašas negali užpildyti spragos kitame.

Patikrinkite tą pirmąjį sąrašą prieš kaltindami serverį. Ieškokite metodo pavadinimo įdiegtame dvejetainiame faile arba perskaitykite kūrimo konfigūraciją, iš kurios jis atėjo. Jei metodo nėra, perkompiliuokite, o ne redaguokite RADIUS politiką; jei jis yra, o mainas vis tiek nepavyksta, problema persikėlė į kredencialus, politiką ar sertifikato pasitikėjimą.

Ko praėjimas vis dar neapima

Sėkmingas paleidimas įrodo vieną metodą, vienam kredencialų rinkiniui, prieš vieną RADIUS politiką, vienu tinklo keliu. Jis nepratina prieigos taško radijo, komutatoriaus EAPOL apdorojimo, po autentifikavimo einančio VLAN priskyrimo ar būdo, kuriuo VPN koncentratorius integruojasi į tą patį serverį. Tie komponentai niekada nebuvo išbandytame kelyje. Laikykite rezultatą ribotu įrodymu ir pasakykite, kurią ribą jis apima, kai apie jį pranešate.

Naudingas įrašas yra tai, ką serveris ir procesas kiekvienas pastebėjo: kuris metodas buvo suderintas, kur mainas sustojo ir ką serveris užregistravo. Laikykite bendras paslaptis ir privačius raktus už to įrašo ribų.

Kontrolinis sąrašas prieš cituojant rezultatą

Prieš kam nors traktuojant išvestį kaip patvirtinimą, patvirtinkite keturis dalykus. Kūrinyje yra bandomasis metodas, RADIUS galinis taškas ir bendra paslaptis priklauso bandomai aplinkai, serverio politika priima šią bandymo tapatybę, o tinklo kelias yra tos pačios klasės kaip kelias, kurį naudoja produkciniai klientai. Tada įvardykite, ko paleidimas nelietė: prieigos taškas, komutatorius, VLAN ir koncentratoriaus integracija kiekvienas turi savo eilutę bandymo plane.

Du bandymai su dviem savininkais nugali vieną dviprasmišką patvirtinimą. eapol_test paleidimas atsako į metodo ir serverio klausimą; prieigos tarnyba atsako į vykdymo klausimą.