EAP низ VPN портал: кој ја завршува методата

Тикетите за поддршка опишуваат неуспешна VPN најава и RADIUS политика што бара посилна метода како да е ист проблем, но не е. Порталот или прима акредитиви и ги препраќа, или води EAP разговор меѓу клиентот и серверот за автентикација. Кое од двете се случува одлучува дали промената на серверската страна воопшто може нешто да поправи. Прочитајте ја размената пред да ја уредите серверската група.

Два патеки за автентикација што изгледаат исто во дневникот

На првиот пат VPN порталот собира корисничко име и лозинка и испраќа RADIUS Access-Request со атрибут за лозинка. Серверот за автентикација го споредува со своето складиште и одговара прифатено или одбиено. Клиентот никогаш не извршува EAP метода, зашто ништо не го побарало тоа.

На вториот пат клиентот и серверот за автентикација ја извршуваат EAP методата од почеток до крај, а порталот препраќа EAP-Message атрибути меѓу нив. Порталот сѐ уште го завршува надворешниот RADIUS разговор, но логиката на методата живее на двата краја.

Двата патеки даваат ред во дневникот дека автентикацијата не успеала. Само вториот може да биде под влијание на тоа која EAP метода ја претпочита серверот, а само првиот на тоа како порталот ја чита лозинката. Да се третираат како заменливи е причината зошто тимовите губат ден менувајќи серверски групи за клиент што никогаш немал да зборува PEAP.

Каде методата навистина работи

RFC 3579 ја дефинира поставеноста за пропуштање: NAS ги носи EAP пакетите во RADIUS атрибути и не му треба код специфичен за методата за секој EAP тип. Затоа порталот може да поддржува PEAP и EAP-TLS без да имплементира ниту еден.

Порталот што поднесува лозинка не носи PEAP, дури и кога заднината би прифатила PEAP од друг клиент. Вклучувањето на PEAP во серверската политика не додава метода на клиент што никогаш не понудил една.

Поставките за PPP автентикација припаѓаат на PPP услугата. Тие не го преконфигурираат тивко секој IPsec или стар XAuth пат што го користи истиот AAA сервер, па промена што работи за еден тип пристап може да го остави другиот недопрен.

Што мора да поддржува NAS

Пропуштањето го преместува барањето од кодот на методата кон поддршката на носачот. Порталот мора да може да носи EAP преку својот VPN протокол, а RADIUS клиентот на него да испраќа и прима EAP-Message атрибути со соодветните големини.

За IKEv2, EAP е дел од дефиниран тек на автентикација, а проверките за идентитет и доверба на серверот доаѓаат од тој тек. Етикетата PEAP позајмена од распоредување со 802.1X не се пренесува автоматски, зашто преговорите околу неа се различни.

И клиентската страна има барања. Мора да биде конфигурирана за методата, да му верува на серверскиот сертификат што методата го претставува и да има акредитиви што методата може да ги користи. Метода заснована на сертификат без клиентски сертификат пропаѓа пред RADIUS воопшто да види нешто, што е проблем со обезбедувањето, а не со серверската политика.

Прочитајте еден обид пред да ја смените политиката

Снимете еден одобрен обид на порталот и на серверот за автентикација. Барајте EAP-Message атрибути во RADIUS барањето. Нивното присуство кажува дека се користи патот за пропуштање; отсуството упатува на размена на акредитиви.

На Linux портал, снимање на RADIUS портата покажува кои атрибути се на жицата:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Потоа споредете ја точката на одбивање. Неуспех на порталот пред кој било RADIUS пакет значи дека клиентот и порталот не се согласиле за методата. RADIUS одбивање со EAP атрибути значи дека краевите ја извршиле методата и еден од нив го одбил резултатот.

Планирајте ја миграцијата како една промена од почеток до крај

Менувањето на методата значи заедно да се сменат клиентската конфигурација, поддршката на носачот на порталот, политиката за методата на серверот и складиштето на акредитиви. Правете го тоа по тој редослед и држете работен пат додека новиот не се докаже. Промена само на серверската страна е претпоставка и обично ги крши клиентите што работеле. Подгответе ја промената на еден тест идентитет пред да ја допрете групата.

Запишете ја комбинацијата што работи: VPN протокол, EAP носач, метода на партнерот, метода на серверот, тип на акредитиви и проверка на идентитетот на серверот.

Држете ја административната AAA најава одделно од VPN автентикацијата, освен ако задачата експлицитно не ги вклучува двете. Промена наменета за далечински пристап не треба да ви ја одземе можноста да го управувате уредот што ја завршува.