VPN ഗേറ്റ്‌വേയിലൂടെ EAP: രീതി ആരാണ് അവസാനിപ്പിക്കുന്നത്

ഹെൽപ്പ്ഡെസ്ക് ടിക്കറ്റുകൾ പരാജയപ്പെട്ട VPN ലോഗിൻ, കൂടുതൽ ശക്തമായ രീതി ആവശ്യപ്പെടുന്ന RADIUS നയം എന്നിവയെ ഒരേ പ്രശ്നമായി വിവരിക്കുന്നു, പക്ഷേ അവ അങ്ങനെയല്ല. ഗേറ്റ്‌വേ ക്രെഡൻഷ്യലുകൾ സ്വീകരിച്ച് കൈമാറുന്നു, അല്ലെങ്കിൽ ക്ലയന്റും ഓതന്റിക്കേഷൻ സർവറും തമ്മിൽ EAP സംഭാഷണം വഹിക്കുന്നു. ഇവയിൽ ഏതാണ് സംഭവിക്കുന്നതെന്നത് സർവർ വശത്തെ മാറ്റം എന്തെങ്കിലും പരിഹരിക്കുമോയെന്ന് തീരുമാനിക്കുന്നു. സർവർ ഗ്രൂപ്പ് തിരുത്തുന്നതിന് മുൻപ് കൈമാറ്റം വായിക്കുക.

ലോഗിൽ ഒരേപോലെ കാണുന്ന രണ്ട് ഓതന്റിക്കേഷൻ പാതകൾ

ആദ്യ പാതയിൽ VPN ഗേറ്റ്‌വേ ഉപയോക്തൃനാമവും പാസ്‌വേർഡും ശേഖരിച്ച് പാസ്‌വേർഡ് ആട്രിബ്യൂട്ടോടെ RADIUS Access-Request അയയ്ക്കുന്നു. ഓതന്റിക്കേഷൻ സർവർ അതിനെ സ്വന്തം സംഭരണവുമായി താരതമ്യപ്പെടുത്തി സ്വീകരിക്കുക അല്ലെങ്കിൽ നിരസിക്കുക എന്ന് മറുപടി നൽകുന്നു. ക്ലയന്റ് ഒരിക്കലും EAP രീതി പ്രവർത്തിപ്പിക്കുന്നില്ല, കാരണം ആരും അത് ആവശ്യപ്പെട്ടിട്ടില്ല.

രണ്ടാം പാതയിൽ ക്ലയന്റും ഓതന്റിക്കേഷൻ സർവറും EAP രീതി ആദ്യം മുതൽ അവസാനം വരെ പ്രവർത്തിപ്പിക്കുന്നു, ഗേറ്റ്‌വേ അവയ്ക്കിടയിൽ EAP-Message ആട്രിബ്യൂട്ടുകൾ കൈമാറുന്നു. ഗേറ്റ്‌വേ ഇപ്പോഴും പുറം RADIUS സംഭാഷണം അവസാനിപ്പിക്കുന്നു, പക്ഷേ രീതിയുടെ യുക്തി രണ്ട് അറ്റങ്ങളിലുമാണ്.

രണ്ട് പാതകളും ലോഗിൽ ഓതന്റിക്കേഷൻ പരാജയപ്പെട്ടു എന്ന വരി സൃഷ്ടിക്കുന്നു. സർവർ ഏത് EAP രീതിക്ക് മുൻഗണന നൽകുന്നു എന്നത് രണ്ടാമത്തേതിനെ മാത്രം ബാധിക്കാം, ഗേറ്റ്‌വേ പാസ്‌വേർഡ് എങ്ങനെ വായിക്കുന്നു എന്നത് ആദ്യത്തേതിനെ മാത്രം. അവയെ പരസ്പരം മാറ്റാവുന്നവയായി കാണുന്നതാണ്, PEAP സംസാരിക്കാൻ ഉദ്ദേശിക്കാത്ത ക്ലയന്റിനായി ടീമുകൾ ഒരു ദിവസം സർവർ ഗ്രൂപ്പുകൾ മാറ്റാൻ ചെലവിടുന്നതിന്റെ കാരണം.

രീതി യഥാർത്ഥത്തിൽ പ്രവർത്തിക്കുന്നത് എവിടെ

RFC 3579 കടത്തിവിടൽ ക്രമം നിർവചിക്കുന്നു: NAS EAP പാക്കറ്റുകൾ RADIUS ആട്രിബ്യൂട്ടുകളിൽ വഹിക്കുന്നു, ഓരോ EAP തരത്തിനും രീതി-നിർദ്ദിഷ്ട കോഡ് ആവശ്യമില്ല. അതിനാൽ ഗേറ്റ്‌വേക്ക് PEAP-ഉം EAP-TLS-ഉം ഒന്നും നടപ്പാക്കാതെ പിന്തുണയ്ക്കാം.

പാസ്‌വേർഡ് സമർപ്പിക്കുന്ന ഗേറ്റ്‌വേ PEAP വഹിക്കുന്നില്ല, ബാക്കെൻഡ് മറ്റൊരു ക്ലയന്റിൽ നിന്ന് PEAP സ്വീകരിച്ചാലും. സർവർ നയത്തിൽ PEAP പ്രവർത്തനക്ഷമമാക്കുന്നത് ഒരിക്കലും ഒന്നും വാഗ്ദാനം ചെയ്യാത്ത ക്ലയന്റിലേക്ക് രീതി ചേർക്കുന്നില്ല.

PPP ഓതന്റിക്കേഷൻ ക്രമീകരണങ്ങൾ PPP സേവനത്തിന്റേതാണ്. അവ ഒരേ AAA സർവർ ഉപയോഗിക്കുന്ന ഓരോ IPsec അല്ലെങ്കിൽ പഴയ XAuth പാതയും നിശ്ശബ്ദമായി പുനഃക്രമീകരിക്കുന്നില്ല, അതിനാൽ ഒരു ആക്സസ് തരത്തിന് പ്രവർത്തിക്കുന്ന മാറ്റം മറ്റൊന്നിനെ തൊടാതെ വിടാം.

NAS എന്ത് പിന്തുണയ്ക്കണം

കടത്തിവിടൽ ആവശ്യകത രീതി കോഡിൽ നിന്ന് വാഹക പിന്തുണയിലേക്ക് മാറ്റുന്നു. ഗേറ്റ്‌വേക്ക് സ്വന്തം VPN പ്രോട്ടോക്കോളിൽ EAP വഹിക്കാൻ കഴിയണം, അതിലെ RADIUS ക്ലയന്റ് ബന്ധപ്പെട്ട വലിപ്പത്തിലുള്ള EAP-Message ആട്രിബ്യൂട്ടുകൾ അയയ്ക്കാനും സ്വീകരിക്കാനും കഴിയണം.

IKEv2-ന് EAP നിർവചിച്ച ഓതന്റിക്കേഷൻ പ്രവാഹത്തിന്റെ ഭാഗമാണ്, സർവറിന്റെ ഐഡന്റിറ്റിയും വിശ്വാസവും പരിശോധിക്കുന്നത് ആ പ്രവാഹത്തിൽ നിന്നാണ്. 802.1X വിന്യാസത്തിൽ നിന്ന് കടമെടുത്ത PEAP ലേബൽ സ്വയമേവ കൈമാറുന്നില്ല, കാരണം അതിന് ചുറ്റുമുള്ള ചർച്ച വ്യത്യസ്തമാണ്.

ക്ലയന്റ് വശത്തും ആവശ്യകതകളുണ്ട്. അത് രീതിക്കായി ക്രമീകരിക്കപ്പെടണം, രീതി അവതരിപ്പിക്കുന്ന സർവർ സർട്ടിഫിക്കറ്റ് വിശ്വസിക്കണം, രീതിക്ക് ഉപയോഗിക്കാവുന്ന ക്രെഡൻഷ്യലുകൾ ഉണ്ടായിരിക്കണം. ക്ലയന്റ് സർട്ടിഫിക്കറ്റില്ലാത്ത സർട്ടിഫിക്കറ്റ് അടിസ്ഥാനമാക്കിയ രീതി RADIUS എന്തെങ്കിലും കാണുന്നതിന് മുൻപേ പരാജയപ്പെടുന്നു, ഇത് സർവർ നയമല്ല, വിതരണത്തിന്റെ പ്രശ്നമാണ്.

നയം മാറ്റുന്നതിന് മുൻപ് ഒരു ശ്രമം വായിക്കുക

ഗേറ്റ്‌വേയിലും ഓതന്റിക്കേഷൻ സർവറിലും ഒരു അംഗീകൃത ശ്രമം ക്യാപ്ചർ ചെയ്യുക. RADIUS അഭ്യർത്ഥനയിൽ EAP-Message ആട്രിബ്യൂട്ടുകൾ തിരയുക. അവയുടെ സാന്നിധ്യം കടത്തിവിടൽ പാത ഉപയോഗത്തിലാണെന്ന് പറയുന്നു; അഭാവം ക്രെഡൻഷ്യൽ കൈമാറ്റത്തിലേക്ക് വിരൽ ചൂണ്ടുന്നു.

Linux ഗേറ്റ്‌വേയിൽ RADIUS പോർട്ടിലെ ക്യാപ്ചർ വയറിൽ ഏത് ആട്രിബ്യൂട്ടുകളുണ്ടെന്ന് കാണിക്കുന്നു:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

തുടർന്ന് നിരസിക്കൽ ബിന്ദു താരതമ്യപ്പെടുത്തുക. ഏതെങ്കിലും RADIUS പാക്കറ്റിന് മുൻപ് ഗേറ്റ്‌വേയിൽ പരാജയം എന്നാൽ ക്ലയന്റും ഗേറ്റ്‌വേയും രീതിയിൽ യോജിച്ചിരുന്നില്ല. EAP ആട്രിബ്യൂട്ടുകൾ വഹിക്കുന്ന RADIUS നിരസിക്കൽ എന്നാൽ രണ്ട് അറ്റങ്ങളും രീതി പ്രവർത്തിപ്പിച്ചു, അവയിലൊന്ന് ഫലം നിരസിച്ചു.

കുടിയേറ്റം ആദ്യം മുതൽ അവസാനം വരെയുള്ള ഒരു മാറ്റമായി ആസൂത്രണം ചെയ്യുക

രീതി മാറ്റുക എന്നാൽ ക്ലയന്റ് കോൺഫിഗറേഷൻ, ഗേറ്റ്‌വേയുടെ വാഹക പിന്തുണ, സർവറിന്റെ രീതി നയം, ക്രെഡൻഷ്യൽ സംഭരണം എന്നിവ ഒരുമിച്ച് മാറ്റുക എന്നാണ്. ഈ ക്രമത്തിൽ ചെയ്യുക, പുതിയത് തെളിയിക്കുന്നത് വരെ പ്രവർത്തിക്കുന്ന പാത നിലനിർത്തുക. സർവർ വശത്ത് മാത്രമുള്ള മാറ്റം ഊഹമാണ്, അത് സാധാരണയായി പ്രവർത്തിച്ചിരുന്ന ക്ലയന്റുകളെ തകർക്കുന്നു. ഗ്രൂപ്പ് തൊടുന്നതിന് മുൻപ് ഒരു പരീക്ഷണ ഐഡന്റിറ്റിയിൽ മാറ്റം തയ്യാറാക്കുക.

പ്രവർത്തിക്കുന്ന സംയോജനം രേഖപ്പെടുത്തുക: VPN പ്രോട്ടോക്കോൾ, EAP വാഹകൻ, സഹ രീതി, സർവർ രീതി, ക്രെഡൻഷ്യൽ തരം, സർവർ ഐഡന്റിറ്റി പരിശോധന.

അഡ്മിൻ ലോഗിൻ AAA VPN ഓതന്റിക്കേഷനിൽ നിന്ന് വേർതിരിച്ച് വയ്ക്കുക, ജോലി വ്യക്തമായി രണ്ടും ഉൾപ്പെടുത്തുന്നില്ലെങ്കിൽ. ദൂരസ്ഥ പ്രവേശനത്തിനായി ഉദ്ദേശിച്ച മാറ്റം അത് അവസാനിപ്പിക്കുന്ന ഉപകരണം കൈകാര്യം ചെയ്യാനുള്ള കഴിവ് നിങ്ങളിൽ നിന്ന് എടുക്കരുത്.