eapol_test преку VPN: и дали на RADIUS размената ѝ треба слој 2?

Побарајте лабораториски порт на комутатор за да извршите eapol_test — и веројатно алатката сте ја прочитале погрешно. Peer-от и RADIUS клиентот двата живеат во таа една бинарна датотека, така што единствениот разговор што ја напушта машината е самата RADIUS размена. Рутиран тунел меѓу тест-домаќинот и серверот за автентикација е целото мрежно барање. Физичката 802.1X патека е друга работа што можеби сѐ уште треба да ја тестирате, и ова не е таа.

Зошто името ги праќа луѓето да бараат порт на комутатор

EAPOL е форматот на рамката што supplicant и комутатор го користат на LAN, и алатката го позајмува името зашто израснала од тој свет. Она што се испорачува е тест-програма што ја носи состојбената машина на peer-от и RADIUS клиентот во еден процес, така што двете половини од еден 802.1X разговор никогаш не се среќаваат на жица. Името е историја, не барање за топологија.

Луѓето сѐ уште го бараат портот зашто програмата стои врз однесувањето на автентикатор, а тоа звучи како хардвер. Нејзиното лепило ја репродуцира состојбената машина на автентикаторот, така што тестот завршува без ниту една пристапна точка во просторијата; компајлираната бинарна датотека го поврзува EAP peer-от на wpa_supplicant со RADIUS клиентот на hostapd. Отстранувањето на комутаторот ја отстранува EAPOL скокот, не логиката за автентикација. Она што останува е размена клиент-сервер меѓу два IP домаќини.

Следете една RADIUS размена скок по скок

Следете еден обид и патеката е кратка. eapol_test внатре peer-от произведува EAP-Response за методот што сте го конфигурирале, и RADIUS клиентот во истиот процес го става во Access-Request, носејќи го товарот во EAP-Message атрибути покрај Message-Authenticator. Таа датаграма е адресирана до серверот на UDP порта 1812 и ја напушта машината како секој друг IP пакет, и тука влегува тунелот. Серверот ја оценува според својата политика и своите модули за методи, потоа одговара со Access-Challenge, Access-Accept или Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Бинарната датотека ја зема адресата на серверот, портата и заедничката тајна од командната линија, а методот и акредитивите од конфигурациски блок во стил на wpa_supplicant. Ништо во тој повик не зависи од соседство на слој 2: -a се достигнува со рутирање, и доволна е VPN што го рутира. Ако тунелот ја испушти датаграмата, тестот паѓа исто како против недостапен сервер на рамна LAN.

Бинарната датотека и серверската политика се различни списоци

Два независни списоци одлучуваат дали еден метод може да помине, а нивното мешање чини еден ден. Првиот список е компајлиран во бинарната датотека: конфигурацијата за изградба избира кои EAP методи постојат, така што изградба без метод не може да преговара за него, што и да дозволува серверот. Вториот список живее на серверот, каде политиката кажува кои од поддржаните методи оваа класа клиенти смее да ги користи. За поминување е потребен пресек, и ниту еден список не може да пополни празнина во другиот.

Проверете го тој прв список пред да го обвините серверот. Побарајте го името на методот во инсталираната бинарна датотека или прочитајте ја конфигурацијата за изградба од која доаѓа. Ако методот недостасува, изградете повторно наместо да ја уредувате RADIUS политиката; ако е присутен, а размената сѐ уште не успева, проблемот се преселил на акредитиви, политика или доверба во сертификатот.

Што сѐ уште не покрива поминувањето

Успешно извршување докажува еден метод, за еден сет акредитиви, против една RADIUS политика, по една мрежна патека. Тоа не го вежба радиото на пристапната точка, EAPOL ракувањето на комутатор, доделувањето VLAN што следи по автентикацијата, ниту начинот на кој VPN концентратор се интегрира со истиот сервер. Тие компоненти никогаш не биле на тестираната патека. Третирајте го резултатот како ограничен доказ и кажете која граница ја покрива кога известувате за него.

Корисниот запис е она што серверот и процесот секој одделно го набљудувале: кој метод бил преговаран, каде размената застанала и што серверот забележал. Чувајте ги заедничките тајни и приватните клучеви надвор од тој запис.

Контролен список пред да го цитирате резултатот

Пред некој да го третира излезот како одобрување, потврдете четири работи. Изградбата го вклучува тестираниот метод, RADIUS крајната точка и заедничката тајна припаѓаат на околината што се тестира, серверската политика го прифаќа овој тест-идентитет, и мрежната патека е од истата класа како патеката што ја користат продукциските клиенти. Потоа наведете што извршувањето не допрело: пристапна точка, комутатор, VLAN и интеграција на концентраторот секој бара свој ред во тест-планот.

Два теста со два сопственици победуваат едно двосмислено одобрување. eapol_test извршувањето одговара на прашањето за методот и серверот; пристапната служба одговара на прашањето за спроведувањето.