Kāpēc RADIUS redz IP adresi, nevis VPN lietotājvārdu

strongSwan var ievietot IKE identitāti RADIUS User-Name pirms jebkuras EAP apmaiņas. Izlemiet, kas pieprasa konta identitāti, pēc tam korelējiet vienu mēģinājumu.

Windows IKEv2 klients izveido savienojumu, un RADIUS pieprasījums pienāk ar adresi tur, kur jābūt konta nosaukumam. Nekas vēl nav neizdevies, un tieši tas mulsina: vārteja ziņo identitāti, ko klients uzrādīja IKE slānī. Lietotājvārds, ko vēlas jūsu aizmugursistēma, var nākt no atsevišķas EAP apmaiņas, kas vēl nav notikusi. Izlemiet, kas to pieprasa, pirms maināt kontu.

Vienā savienojumā ceļo divas identitātes

Vienā savienojumā var parādīties divi nosaukumi. IKE identitāte identificē partneri tuneļa iestatīšanas laikā, un eap-radius spraudnis sākotnēji to kopē RADIUS User-Name laukā. EAP identitāte ir cita vērtība, ko izmanto lietotāja autentifikācijai, un tā var tikt nekad nosūtīta, ja neviens to nepieprasa.

Tāpēc RADIUS žurnālā var būt redzama adrese, lai gan konts pastāv un parole ir pareiza. Aizmugursistēmai jautā par nepareizo slāni. RADIUS atribūts ir tikai izvēlētā nosaukuma transports.

Lūdziet vārtejai pieprasīt EAP identitāti

Viens atbalstīts izkārtojums ļauj vārtejai pieprasīt EAP identitāti pirms autentifikācijas nodošanas RADIUS. Savienojuma attālās autentifikācijas sadaļā iestatiet metodi uz eap-radius un skaidri pieprasiet EAP identitāti. Tālāk esošais fragments pieder esošam savienojuma blokam, nevis atsevišķai datnei. Apstipriniet savienojumu un konfigurācijas aizmugursistēmu, pirms kopējat sintaksi no citas izvietošanas.

remote {
    auth = eap-radius
    eap_id = %any
}

Ar to aizmugursistēma saņem identitāti, ko klients sniedz EAP apmaiņā, nevis IKE adresi. Nekas cits savienojumā nemainās.

Vai arī ļaujiet RADIUS sākt EAP apmaiņu

Otrs izkārtojums pirmo gājienu atstāj RADIUS pusē. Spraudnis var nosūtīt EAP-Start norādi, nevis gaidīt sākotnējo identitātes atbildi, kas ļauj serverim vadīt apmaiņu. Tā ir spraudņa līmeņa konfigurācija, tāpēc tā ietekmē katru savienojumu, kas izmanto spraudni.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Izvēlieties vienu izkārtojumu kopā ar RADIUS operatoru, nevis ieslēdziet abus un ceriet. Tie apraksta atšķirīgas darbplūsmas, un serveris, kas gaida, ka sāks pats, ne vienmēr tiks galā ar vārteju, kas sāk sarunu. Spraudņa dokumentācija apraksta abus, tostarp to, kādu identitāti nes katrs solis.

Sekojiet vienam mēģinājumam abos žurnālos

Korelējiet vienu mēģinājumu abos žurnālos. Vērojiet IKE identitāti, pēc tam vai notiek EAP-Identity apmaiņa, un tad kādu nosaukumu saņem autentifikācijas solis. Aizmugursistēma, kas noraida adresi pirms EAP apmaiņas, var apturēt procesu, pirms jūsu iecerētā identitāte vispār tiek ieraudzīta.

journalctl -u strongswan -f

Saglabājiet precīzu lietotājvārda formātu, ko gaida identitātes sistēma, ieskaitot domēna prefiksu. Nekad neizdomājiet kontu no adreses formas vērtības un nekad neizslēdziet autentifikāciju, lai izpildītu politikas noteikumu. EAP identitāte ir apgalvots nosaukums, un metodei tas vēl jāpierāda. Ierakstiet iegūto nosaukumu testa ierakstā, lai nākamais mēģinājums sāktos no zināma stāvokļa.

Ja labotā plūsma sasniedz pareizo kontu un joprojām tiek noraidīta, nākamais pierādījums ir EAP metode un aizmugursistēmas politika, nevis identitāte. Paroles atiestatīšanas atkārtošana nevar salabot vērtību, kas izvēlēta agrākā protokola slānī.

Saistītie raksti