Зошто RADIUS гледа IP-адреса наместо корисничкото име на VPN

strongSwan може да ја стави идентитетот на IKE во RADIUS User-Name пред било која EAP размена. Одлучете кој ја бара идентитетот на сметката, потоа поврзете еден обид.

Клиент на Windows IKEv2 се поврзува и барањето до RADIUS пристигнува со адреса таму каде што треба да биде името на сметката. Дури ништо не е неуспешно и токму тоа збунува: портата известува за идентитетот што клиентот го претставил на IKE слојот. Корисничкото име што го сака вашиот бекенд може да дојде од посебна EAP размена што досега не се случила. Одлучете кој го бара пред да ја промените сметката.

Два идентитети патуваат во една врска

Во една врска може да се појават две имиња. Идентитетот на IKE го идентификува партнерот за време на поставувањето на тунелот, а приклучокот eap-radius првично го копира во RADIUS User-Name. Идентитетот на EAP е друга вредност, се користи за автентикација на корисникот и може никогаш да не биде испратен ако никој не го побара.

Затоа дневникот на RADIUS може да покаже адреса додека сметката постои и лозинката е точна. Бекендот се прашува за погрешниот слој. Атрибутот RADIUS е само преносот за избраното име.

Побарајте од портата да побара EAP идентитет

Едно поддржано поставување дозволува портата да го побара EAP идентитетот пред да ја предаде автентикацијата на RADIUS. Во делот за далечинска автентикација на врската, поставете го методот на eap-radius и експлицитно побарајте EAP идентитетот. Фрагментот подолу припаѓа внатре во постоечки блок на врска, а не во сопствена датотека. Потврдете ја врската и бекендот на конфигурацијата пред да копирате синтакса од друго распоредување.

remote {
    auth = eap-radius
    eap_id = %any
}

Со тоа бекендот го добива идентитетот што клиентот го дава во EAP размената наместо адресата на IKE. Ништо друго во врската не се менува.

Или оставете RADIUS да ја започне EAP размената

Другото поставување го остава првиот чекор на страната на RADIUS. Приклучокот може да испрати индикација EAP-Start наместо да чека почетен одговор за идентитет, што му овозможува на серверот да ја води размената. Тоа е конфигурација на ниво на приклучок, па затоа влијае на секоја врска што го користи приклучокот.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Изберете едно поставување со операторот на RADIUS наместо да ги вклучите двете и да се надевате. Тие опишуваат различни работни текови, а серверот што очекува да започне не мора нужно да се справи со порта што го започнува разговорот. Документацијата на приклучокот ги опишува двете, вклучувајќи кој идентитет го носи секој чекор.

Следете еден обид во двата дневника

Поврзете еден обид во двата дневника. Гледајте го идентитетот на IKE, потоа дали се случува EAP-Identity размена, а потоа кое име го добива чекорот за автентикација. Бекенд што ја одбива адресата пред EAP размената може да го запре процесот пред вашиот предвиден идентитет воопшто да се види.

journalctl -u strongswan -f

Задржете го точниот формат на корисничкото име што го очекува системот за идентитет, вклучувајќи го префиксот на доменот. Никогаш не измислувајте сметка од вредност во форма на адреса и никогаш не исклучувајте автентикација за да задоволите правило за политика. EAP идентитетот е наведено име и методот сепак треба да го докаже. Запишете го добиеното име во тест записот за следниот обид да започне од позната состојба.

Ако исправениот тек стигне до точната сметка и досега е одбиен, следниот доказ е EAP методот и политиката на бекендот, а не идентитетот. Повторувањето на ресетирање лозинка не може да поправи вредност избрана на претходен протоколен слој.

Поврзани статии