Kodėl RADIUS mato IP adresą vietoj VPN naudotojo vardo

strongSwan gali įrašyti IKE tapatybę į RADIUS User-Name prieš bet kokį EAP mainą. Nuspręskite, kas prašo paskyros tapatybės, tada susiekite vieną bandymą.

Windows IKEv2 klientas prisijungia, o RADIUS užklausa atkeliauja su adresu ten, kur turėtų būti paskyros vardas. Dar niekas nepavyko, ir būtent tai klaidina: šliuzas praneša tapatybę, kurią klientas pateikė IKE lygmenyje. Naudotojo vardas, kurio nori jūsų backend, gali ateiti iš atskiro EAP maino, kuris dar neįvyko. Nuspręskite, kas jo prašo, prieš keisdami paskyrą.

Dvi tapatybės keliauja viename ryšyje

Viename ryšyje gali pasirodyti du vardai. IKE tapatybė nustato partnerį tunelio sąrankos metu, o eap-radius papildinys iš pradžių nukopijuoja ją į RADIUS User-Name. EAP tapatybė yra kita reikšmė, naudojama naudotojo autentifikavimui, ir ji gali būti niekada neišsiųsta, jei niekas jos neprašo.

Todėl RADIUS žurnale gali būti rodomas adresas, nors paskyra egzistuoja ir slaptažodis teisingas. Backend klausiama apie neteisingą sluoksnį. RADIUS atributas yra tik pasirinkto vardo transportas.

Paprašykite šliuzo pareikalauti EAP tapatybės

Viena palaikoma sąranka leidžia šliuzui pareikalauti EAP tapatybės prieš perduodant autentifikavimą RADIUS. Ryšio nuotolinio autentifikavimo skiltyje nustatykite metodą į eap-radius ir aiškiai pareikalaukite EAP tapatybės. Toliau pateiktas fragmentas priklauso esamam ryšio blokui, o ne atskiram failui. Patvirtinkite ryšį ir konfigūracijos backend prieš kopijuodami sintaksę iš kitos diegties.

remote {
    auth = eap-radius
    eap_id = %any
}

Su tuo backend gauna tapatybę, kurią klientas pateikia EAP maine, o ne IKE adresą. Daugiau niekas ryšyje nesikeičia.

Arba leiskite RADIUS pradėti EAP mainą

Kita sąranka pirmąjį žingsnį palieka RADIUS pusėje. Papildinys gali siųsti EAP-Start signalą, o ne laukti pradinio tapatybės atsakymo, o tai leidžia serveriui valdyti mainą. Tai papildinio lygmens konfigūracija, todėl ji veikia kiekvieną ryšį, kuris naudoja papildinį.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Pasirinkite vieną sąranką su RADIUS operatoriumi, o ne įjunkite abi ir tikėkitės. Jos apibūdina skirtingus darbo srautus, o serveris, kuris tikisi pradėti, nebūtinai susidoros su šliuzu, kuris pradeda pokalbį. Papildinio dokumentacija apibūdina abi, įskaitant tai, kokią tapatybę neša kiekvienas žingsnis.

Sekite vieną bandymą abiejuose žurnaluose

Susiekite vieną bandymą abiejuose žurnaluose. Stebėkite IKE tapatybę, tada ar įvyksta EAP-Identity mainas, tada kokį vardą gauna autentifikavimo žingsnis. Backend, kuris atmeta adresą prieš EAP mainą, gali sustabdyti procesą anksčiau, nei numatyta tapatybė kada nors bus pamatyta.

journalctl -u strongswan -f

Išlaikykite tikslų naudotojo vardo formatą, kurio tikisi tapatybės sistema, įskaitant domeno priešdėlį. Niekada neišgalvokite paskyros iš adreso formos reikšmės ir niekada neišjunkite autentifikavimo, kad atitiktumėte politikos taisyklę. EAP tapatybė yra deklaruotas vardas, ir metodas vis tiek turi jį įrodyti. Įrašykite gautą vardą į bandymo įrašą, kad kitas bandymas prasidėtų nuo žinomos būsenos.

Jei pataisytas srautas pasiekia tinkamą paskyrą ir vis tiek atmetamas, kitas įrodymas yra EAP metodas ir backend politika, o ne tapatybė. Slaptažodžio atkūrimo kartojimas negali pataisyti reikšmės, pasirinktos ankstesniame protokolo sluoksnyje.

Susiję straipsniai