EAP vai klienta sertifikāti? IKEv2 autentifikācijas izlemšana

Jūsu vārteja var pierādīt savu identitāti ar sertifikātu un jūsējo — ar EAP, un šī kombinācija ir ierasta, nevis pretrunīga. Abi mehānismi atbild uz dažādiem jautājumiem: vai šis galapunkts ir tas, ko gaidu, un vai šim lietotājam vai ierīcei ir atļauts. EAP redzēšana profilā neizslēdz servera validāciju. Tieši profila lasīšana kā viena iestatījuma liek cilvēkiem atiestatīt nepareizos akreditācijas datus.

Nosakiet, kurš apgalvojums neizdevās, pirms pieskarties kādam no diviem objektiem. Neveiksmes posms to pateiks, ja lasīsiet secībā.

Divi akreditācijas dati, divi apgalvojumi

Servera sertifikāts saista vārdu ar atslēgu, un klients pārbauda šo saiti savā uzticības krātuvē. Klienta sertifikāts saista identitāti ar atslēgu, un vārteja pārbauda, vai uzrādītais sertifikāts ķēdē ved uz kaut ko, kam tā uzticas. EAP pārnēsā autentifikācijas apmaiņu, kuras saturs ir atkarīgs no izvēlētās metodes. Tās ir trīs struktūras ar atšķirīgu darbības laiku, atšķirīgiem īpašniekiem un atšķirīgiem atteices veidiem.

Piekļuves frāze, kas atslēdz privāto atslēgu, nav konta parole, pat ja abas uzvednes parādās sekunžu laikā viena pēc otras. Viena ir lokāla ierīces atslēgu krātuvē, bet otru validē autentifikācijas serveris aiz vārtejas.

EAP ir konteiners, nevis metode

EAP ir ietvars: vārteja un klients vienojas par metodi, un metode izlemj, vai iesaistīta ir parole, marķieris, tunelēta iekšējā apmaiņa vai sertifikāts, kā izklāsta strongSwan dokumentācija par IKEv2. Tāpēc EAP-TLS no klienta puses nemaz neizskatās pēc EAP-MSCHAPv2, lai gan abi izvēlnē parādās kā EAP. Profils, kurā nosaukts tikai EAP, nav pateicis, ko lietotājam jautās.

Lasiet metodi un backend kopā. Backend nosaka konta formātu, bloķēšanas uzvedību un to, ko paroles atiestatīšana patiešām maina, un nekas no tā nav redzams klienta profilā.

Jaukta ieviešana ir normāla

Servera sertifikāts plus EAP lietotājam ir forma, ko ievieš lielākā daļa attālinātās piekļuves vārteju, jo tā klientam dod pārbaudāmu galapunktu un operatoram — katra lietotāja identitāti centrālā kontu krātuvē. Pastāv arī ieviešanas ar klienta sertifikātiem, parasti tur, kur ierīces identitāte ir svarīgāka par paroli. Abas ir likumīgas, un kļūda ir pieņemt, ka tas, ko redzējāt pagājušajā nedēļā, ir tas, kas ir jums priekšā.

Pajautājiet operatoram dokumentēto metodi un konta formātu, nevis seciniet tos no lauku nosaukumiem klientā.

Lēmums pēc neveiksmes posma

Sakārtojiet novērojumus. Uzticības kļūda pirms jebkuras lietotāja uzvednes ir servera sertifikāta problēma, un neviena parole to nelabos. Uzvedne, kurai seko noraidījums, ir lietotāja autentifikācijas problēma, un aizdomās turamie ir EAP metode un backend. Veiksmīga autentifikācija, kurai seko child-SA neveiksme, nav ne viens, ne otrs.

Svarīgas ir vēl divas atšķirības. Klients, kas noraida servera sertifikātu, parasti ziņo par nosaukuma neatbilstību vai nezināmu iestādi, kas ir uzticības krātuves jautājums. Vārteja, kas noraida lietotāju, bieži reģistrē EAP metodi un iemesla kategoriju, kas ir konta vai politikas jautājums.

Abu modeļu uzturēšana

Sertifikātu gadījumā darbs ir izsniegšana, atjaunošana, atsaukšana un pazaudētu ierīču noņemšana, un tas notiek pēc jūsu kontrolēta grafika. EAP gadījumā darbs ir konta dzīves cikls, metožu atbalsts katrā klienta platformā un jebkurš otrais faktors, ko pieprasa backend. Neviens modelis nav abstrakti lētāks; tie noslogo dažādas komandas. Pierakstiet, kuru jūsu ieviešana patiešām izmanto, jo atbalsta skripti atšķiras vairāk nekā konfigurācija.

Turiet tos atsevišķi savos pierakstos. Sertifikāta derīguma beigas rada kļūmi noteiktā datumā, konta bloķēšana rada kļūmi pēc paroles maiņas, un metodes neatbilstība rada kļūmi tikai vienā platformā.

Pēc tam, kad identitāte ir pieņemta

Autentifikācija ir vieni vārti. Meitas drošības asociācija, trafika atlasītāji, DNS un pašas lietotnes atļaujas ir vēlāki vārti, un katri neizdodas ar saviem noteikumiem. Pieņemta identitāte, kas nekur nenonāk, nav autentifikācijas problēma.

Pierakstiet metodi, izmantoto kontu vai sertifikātu un posmu, kas neizdevās. Šis pieraksts pārvērš nākamo incidentu meklēšanā, nevis eksperimentā.