eapol_test caur VPN: vai RADIUS apmaiņai vajadzīgs 2. slānis?

Palūdziet laboratorijas komutatora portu, lai varētu palaist eapol_test — un jūs, iespējams, nepareizi izlasījāt rīku. Peer un RADIUS klients abi dzīvo tajā vienā binārajā failā, tāpēc vienīgā saruna, kas atstāj mašīnu, ir pati RADIUS apmaiņa. Maršrutēts tunelis starp testa resursdatoru un autentifikācijas serveri ir visa tīkla prasība. Fiziskais 802.1X ceļš ir cita lieta, kas jums varbūt vēl jāpārbauda, un tas nav šis.

Kāpēc nosaukums liek cilvēkiem meklēt komutatora portu

EAPOL ir kadra formāts, ko supplicant un komutators izmanto LAN tīklā, un rīks aizņēmās nosaukumu, jo izauga no tās pasaules. Piegādātais ir testa programma, kas peer stāvokļa mašīnu un RADIUS klientu nes vienā procesā, tāpēc abas 802.1X sarunas puses nekad nesatiekas uz vada. Nosaukums ir vēsture, nevis topoloģijas prasība.

Cilvēki joprojām prasa portu, jo programma balstās uz autentifikatora uzvedību, un tas izklausās pēc aparatūras. Tās līme atkārto autentifikatora stāvokļa mašīnu, tāpēc tests pabeidzas bez piekļuves punkta telpā; kompilētais binārais fails saista wpa_supplicant EAP peer ar hostapd RADIUS klientu. Komutatora noņemšana noņem EAPOL lēcienu, nevis autentifikācijas loģiku. Paliek klienta-servera apmaiņa starp diviem IP resursdatoriem.

Izsekojiet vienu RADIUS apmaiņu lēciens pa lēcienam

Izsekojiet vienam mēģinājumam, un ceļš ir īss. eapol_test iekšienē esošais peer izveido EAP-Response jūsu konfigurētajai metodei, un tā paša procesa RADIUS klients ievieto to Access-Request, nesdams kravu EAP-Message atribūtos blakus Message-Authenticator. Šī datagramma ir adresēta serverim UDP 1812 portā, un tā atstāj resursdatoru kā jebkurš cits IP pakete, un šeit ienāk tunelis. Serveris to novērtē pēc savas politikas un metožu moduļiem, pēc tam atbild ar Access-Challenge, Access-Accept vai Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binārais fails ņem servera adresi, portu un kopīgo noslēpumu no komandrindas, bet metodi un akreditācijas datus no wpa_supplicant stila konfigurācijas bloka. Nekas šajā izsaukumā nav atkarīgs no 2. slāņa kaimiņattiecībām: -a tiek sasniegts ar maršrutēšanu, un pietiek ar VPN, kas to maršrutē. Ja tunelis nomet datagrammu, tests neizdodas tieši tāpat kā pret nesasniedzamu serveri plakanā LAN tīklā.

Binārais fails un servera politika ir dažādi saraksti

Divi neatkarīgi saraksti izlemj, vai metode var iziet, un to sajaukšana maksā dienu. Pirmais saraksts ir kompilēts binārajā failā: būvēšanas konfigurācija izvēlas, kuras EAP metodes pastāv, tāpēc būvējums bez metodes nevar par to vienoties, lai ko serveris atļautu. Otrais saraksts dzīvo serverī, kur politika saka, kuras no atbalstītajām metodēm šī klientu klase drīkst izmantot. Izsniegšanai vajadzīgs šķēlums, un neviens saraksts nevar aizpildīt robu otrā.

Pārbaudiet to pirmo sarakstu, pirms vainojat serveri. Meklējiet metodes nosaukumu instalētajā binārajā failā vai lasiet būvēšanas konfigurāciju, no kuras tas nāca. Ja metode trūkst, pārbūvējiet, nevis rediģējiet RADIUS politiku; ja tā ir un apmaiņa joprojām neizdodas, problēma ir pārcēlusies uz akreditācijas datiem, politiku vai sertifikāta uzticēšanos.

Ko iziešana joprojām neaptver

Veiksmīga izpilde pierāda vienu metodi, vienam akreditācijas datu kopumam, pret vienu RADIUS politiku, pa vienu tīkla ceļu. Tā nepraktizē piekļuves punkta radio, komutatora EAPOL apstrādi, pēc autentifikācijas sekojošo VLAN piešķiršanu vai veidu, kā VPN koncentrators integrējas tajā pašā serverī. Šīs sastāvdaļas nekad nav bijušas pārbaudītajā ceļā. Uztveriet rezultātu kā ierobežotu pierādījumu un pasakiet, kuru robežu tas aptver, kad par to ziņojat.

Noderīgais ieraksts ir tas, ko serveris un process katrs novēroja: kura metode tika saskaņota, kur apmaiņa apstājās un ko serveris reģistrēja. Turiet kopīgos noslēpumus un privātās atslēgas ārpus šī ieraksta.

Kontrolsaraksts pirms rezultāta citēšanas

Pirms kāds uztver izvadi kā apstiprinājumu, apstipriniet četras lietas. Būvējumā ir pārbaudāmā metode, RADIUS galapunkts un kopīgais noslēpums pieder pārbaudāmajai videi, servera politika pieņem šo testa identitāti, un tīkla ceļš ir tādas pašas klases kā ceļš, ko izmanto ražošanas klienti. Pēc tam nosauciet, ko izpilde neaizskāra: piekļuves punkts, komutators, VLAN un koncentratora integrācija katram vajadzīga sava rinda testa plānā.

Divi testi ar diviem īpašniekiem pārspēj vienu neviennozīmīgu apstiprinājumu. eapol_test izpilde atbild uz metodes un servera jautājumu; piekļuves pakalpojums atbild uz izpildes jautājumu.