EAP или клиентски сертификати? Одлучување за IKEv2 автентикација

Вашата порта може да го докаже сопствениот идентитет со сертификат, а вашиот преку EAP, и таа комбинација е вообичаена, а не противречна. Двата механизми одговараат на различни прашања: дали оваа крајна точка е онаа што ја очекувам, и дали овој корисник или уред е дозволен. Гледањето EAP во профил не го исклучува проверувањето на серверот. Токму читањето на профилот како една поставка ги тера луѓето да ресетираат погрешен акредитив.

Утврдете кое тврдење не успеа пред да допрете било кој од двата објекта. Чекорот на неуспехот ќе ви го каже тоа, ако читате по ред.

Два акредитиви, две тврдења

Серверскиот сертификат го врзува името за клуч, а клиентот ја проверува таа врска во своето складиште на доверба. Клиентскиот сертификат го врзува идентитетот за клуч, а портата проверува дали претставениот сертификат се врзува во синџир до нешто на што таа му верува. EAP пренесува размена за автентикација чија содржина зависи од избраниот метод. Тоа се три структури со различен животен век, различни сопственици и различни начини на откажување.

Лозинката што отклучува приватен клуч не е лозинка за сметка, дури и кога двете барања се појавуваат во рок од секунди едно од друго. Едната е локална во складиштето на клучеви на уредот, а другата ја проверува сервер за автентикација зад портата.

EAP е сад, а не метод

EAP е рамка: портата и клиентот преговараат за метод, а методот одлучува дали учествуваат лозинка, токен, тунелирана внатрешна размена или сертификат, како што објаснува документацијата на strongSwan за IKEv2. Затоа EAP-TLS од страната на клиентот воопшто не личи на EAP-MSCHAPv2, иако двете се појавуваат како EAP во мени. Профил што наведува само EAP не ви кажал што ќе се праша корисникот.

Читајте ги методот и backend-от заедно. Backend-от го одредува форматот на сметката, однесувањето при заклучување и што всушност менува ресетирањето на лозинката, и ништо од тоа не е видливо во профилот на клиентот.

Мешаното распоредување е нормално

Серверски сертификат плус EAP за корисникот е формата што ја распоредуваат повеќето порти за далечински пристап, бидејќи на клиентот му дава проверлив краен пункт, а на операторот идентитет по корисник во централно складиште на сметки. Постојат и распоредувања со клиентски сертификати, обично таму каде идентитетот на уредот е поважен од лозинка. Двете се легитимни, а грешката е да се претпостави дека тоа што го видовте минатата недела е тоа што е пред вас.

Прашајте го операторот за документираниот метод и формат на сметка наместо да ги заклучувате од имињата на полињата во клиентот.

Одлука според чекорот на неуспех

Подредете ги набљудувањата. Грешка во довербата пред било какво барање до корисникот е проблем со серверски сертификат и ниту една лозинка нема да го поправи. Барање по кое следи одбивање е проблем со автентикација на корисникот, со методот EAP и backend-от како сомнителни. Успешна автентикација по која следи неуспех на child-SA не е ниту едно од двете.

Важни се уште две разлики. Клиент што го одбива серверскиот сертификат обично пријавува несовпаѓање на име или непознат орган, што е прашање на складиште на доверба. Порта што го одбива корисникот често го запишува методот EAP и категоријата причина, што е прашање на сметка или политика.

Работење со двата модели

Кај сертификатите работата е издавање, обновување, отповикување и отстранување на изгубени уреди, и се случува според распоред што вие го контролирате. Кај EAP работата е животниот циклус на сметката, поддршката на методи на секоја клиентска платформа и кој било втор фактор што го бара backend-от. Ниту еден модел не е апстрактно поевтин; тие оптоваруваат различни тимови. Запишете кој од нив вашиот распоред навистина го користи, бидејќи скриптите за поддршка се разликуваат повеќе од конфигурацијата.

Држете ги одвоени во вашите белешки. Истекот на сертификат создава неуспех на одреден датум, заклучувањето на сметка создава неуспех по промена на лозинка, а несовпаѓањето на метод создава неуспех само на една платформа.

Откако идентитетот ќе биде прифатен

Автентикацијата е една порта. Подредената безбедносна асоцијација, селекторите на сообраќај, DNS и сопствените дозволи на апликацијата се подоцнежни порти, и секоја откажува под свои услови. Прифатен идентитет што не стигнува никаде не е проблем со автентикација.

Запишете го методот, користената сметка или сертификат и чекорот што не успеал. Таа белешка го претвора следниот инцидент во пребарување наместо во експеримент.