VPN വഴി eapol_test: RADIUS കൈമാറ്റത്തിന് ലെയർ 2 വേണോ?

ലാബ് സ്വിച്ച് പോർട്ട് ആവശ്യപ്പെട്ട് eapol_test പ്രവർത്തിപ്പിക്കാൻ ശ്രമിക്കുന്നെങ്കിൽ, നിങ്ങൾ ടൂൾ തെറ്റായി വായിച്ചിരിക്കാം. പിയറും RADIUS ക്ലയന്റും രണ്ടും ആ ഒറ്റ ബൈനറിക്കുള്ളിൽ തന്നെയാണ്, അതിനാൽ യന്ത്രം വിട്ടുപോകുന്ന ഒരേയൊരു സംഭാഷണം RADIUS കൈമാറ്റം തന്നെയാണ്. ടെസ്റ്റ് ഹോസ്റ്റും ഓതന്റിക്കേഷൻ സെർവറും തമ്മിലുള്ള റൂട്ട് ചെയ്ത ടണൽ മുഴുവൻ നെറ്റ്വർക്ക് ആവശ്യകതയാണ്. ഭൗതികമായ 802.1X പാത വേറെ ഒരു കാര്യമാണ്, അത് ഇനിയും പരീക്ഷിക്കേണ്ടി വന്നേക്കാം, ഇത് അതല്ല.

പേര് ആളുകളെ സ്വിച്ച് പോർട്ട് തിരയാൻ അയക്കുന്നത് എന്തുകൊണ്ട്

EAPOL എന്നത് supplicant-ഉം സ്വിച്ചും LAN-ൽ ഉപയോഗിക്കുന്ന ഫ്രെയിം ഫോർമാറ്റാണ്, ആ ലോകത്തുനിന്ന് വളർന്നതിനാൽ ടൂൾ ആ പേര് കടം വാങ്ങുന്നു. നൽകുന്നത് പിയറിന്റെ അവസ്ഥാ യന്ത്രവും RADIUS ക്ലയന്റും ഒരൊറ്റ പ്രോസസ്സിൽ വഹിക്കുന്ന ഒരു ടെസ്റ്റ് പ്രോഗ്രാമാണ്, അതിനാൽ 802.1X സംഭാഷണത്തിന്റെ രണ്ട് പകുതികൾ ഒരിക്കലും കമ്പിയിൽ കണ്ടുമുട്ടുന്നില്ല. പേര് ചരിത്രമാണ്, ടോപ്പോളജി ആവശ്യകതയല്ല.

ആളുകൾ ഇപ്പോഴും പോർട്ട് ചോദിക്കുന്നത് പ്രോഗ്രാം ഓതന്റിക്കേറ്ററിന്റെ സ്വഭാവത്തിൽ ഇരിക്കുന്നതിനാലാണ്, അത് ഹാർഡ്വെയർ പോലെ തോന്നുന്നു. അതിന്റെ പശ ഓതന്റിക്കേറ്ററിന്റെ അവസ്ഥാ യന്ത്രം പുനരുൽപ്പാദിപ്പിക്കുന്നു, അതിനാൽ മുറിയിൽ ഒരു ആക്സസ് പോയിന്റും ഇല്ലാതെ ടെസ്റ്റ് പൂർത്തിയാകുന്നു; കോംപൈൽ ചെയ്ത ബൈനറി wpa_supplicant-ന്റെ EAP പിയറിനെ hostapd-ന്റെ RADIUS ക്ലയന്റുമായി ബന്ധിപ്പിക്കുന്നു. സ്വിച്ച് നീക്കുന്നത് EAPOL ചാട്ടം നീക്കുന്നു, ഓതന്റിക്കേഷൻ ലോജിക് അല്ല. ബാക്കിയുള്ളത് രണ്ട് IP ഹോസ്റ്റുകൾക്കിടയിലുള്ള ക്ലയന്റ്-സെർവർ കൈമാറ്റമാണ്.

ഒരു RADIUS കൈമാറ്റം ചാട്ടത്തിന് ചാട്ടം പിന്തുടരുക

ഒരു ശ്രമം പിന്തുടരുക, പാത ചെറുതാണ്. eapol_test ഉള്ളിലെ പിയർ നിങ്ങൾ കോൺഫിഗർ ചെയ്ത മെത്തഡിന് ഒരു EAP-Response ഉണ്ടാക്കുന്നു, അതേ പ്രോസസ്സിലെ RADIUS ക്ലയന്റ് അത് ഒരു Access-Request-ൽ ഇടുന്നു, പേലോഡ് Message-Authenticator-ന്റെ അടുത്തുള്ള EAP-Message ആട്രിബ്യൂട്ടുകളിൽ വഹിക്കുന്നു. ആ ഡേറ്റാഗ്രാം UDP പോർട്ട് 1812-ൽ സെർവറിലേക്ക് അഡ്രസ്സ് ചെയ്യപ്പെടുന്നു, മറ്റേതെങ്കിലും IP പാക്കറ്റ് പോലെ ഹോസ്റ്റ് വിടുന്നു, ഇവിടെയാണ് ടണൽ വരുന്നത്. സെർവർ അതിനെ സ്വന്തം നയത്തിനും മെത്തഡ് മൊഡ്യൂളുകൾക്കും എതിരെ വിലയിരുത്തുന്നു, പിന്നീട് Access-Challenge, Access-Accept അല്ലെങ്കിൽ Access-Reject കൊണ്ട് ഉത്തരം നൽകുന്നു.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

ബൈനറി സെർവർ വിലാസം, പോർട്ട്, പങ്കിട്ട രഹസ്യം എന്നിവ കമാൻഡ് ലൈനിൽ നിന്നും, മെത്തഡും ക്രെഡൻഷ്യലുകളും wpa_supplicant ശൈലിയിലുള്ള കോൺഫിഗറേഷൻ ബ്ലോക്കിൽ നിന്നും എടുക്കുന്നു. ആ വിളിയിൽ ഒന്നും ലെയർ 2 അയൽപക്കത്തെ ആശ്രയിക്കുന്നില്ല: -a റൂട്ടിംഗ് വഴി എത്തുന്നു, അത് റൂട്ട് ചെയ്യുന്ന VPN മതി. ടണൽ ഡേറ്റാഗ്രാം ഉപേക്ഷിച്ചാൽ, പരന്ന LAN-ൽ എത്താനാവാത്ത സെർവറിനെതിരെ എന്നതുപോലെ തന്നെ ടെസ്റ്റ് പരാജയപ്പെടുന്നു.

ബൈനറിയും സെർവർ നയവും വെവ്വേറെ പട്ടികകളാണ്

ഒരു മെത്തഡ് കടന്നുപോകുമോ എന്ന് രണ്ട് സ്വതന്ത്ര പട്ടികകൾ തീരുമാനിക്കുന്നു, അവ കൂട്ടിക്കലർത്തുന്നത് ഒരു ദിവസം നഷ്ടപ്പെടുത്തുന്നു. ആദ്യ പട്ടിക ബൈനറിയിൽ കോംപൈൽ ചെയ്തിരിക്കുന്നു: ബിൽഡ് കോൺഫിഗറേഷൻ ഏത് EAP മെത്തഡുകൾ ഉണ്ടെന്ന് തിരഞ്ഞെടുക്കുന്നു, അതിനാൽ മെത്തഡ് ഇല്ലാത്ത ബിൽഡ് സെർവർ എന്ത് അനുവദിച്ചാലും അതിനെക്കുറിച്ച് ചർച്ച ചെയ്യാനാവില്ല. രണ്ടാം പട്ടിക സെർവറിൽ ജീവിക്കുന്നു, അവിടെ നയം പറയുന്നു പിന്തുണയ്ക്കുന്ന മെത്തഡുകളിൽ ഈ ക്ലയന്റ് വിഭാഗത്തിന് ഏതൊക്കെ ഉപയോഗിക്കാമെന്ന്. കടന്നുപോകാൻ ഛേദം വേണം, ഒരു പട്ടികയ്ക്കും മറ്റേതിലെ വിടവ് നികത്താനാവില്ല.

സെർവറിനെ കുറ്റപ്പെടുത്തുന്നതിന് മുൻപ് ആ ആദ്യ പട്ടിക പരിശോധിക്കുക. ഇൻസ്റ്റാൾ ചെയ്ത ബൈനറിയിൽ മെത്തഡിന്റെ പേര് തിരയുക, അല്ലെങ്കിൽ അത് വന്ന ബിൽഡ് കോൺഫിഗറേഷൻ വായിക്കുക. മെത്തഡ് ഇല്ലെങ്കിൽ RADIUS നയം തിരുത്തുന്നതിന് പകരം വീണ്ടും ബിൽഡ് ചെയ്യുക; അത് ഉണ്ടായിട്ടും കൈമാറ്റം പരാജയപ്പെടുന്നെങ്കിൽ, പ്രശ്നം ക്രെഡൻഷ്യലുകൾ, നയം അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റ് വിശ്വാസത്തിലേക്ക് മാറിയിരിക്കുന്നു.

കടന്നുപോകൽ ഇപ്പോഴും ഉൾക്കൊള്ളാത്തത്

വിജയകരമായ ഒരു റൺ ഒരു മെത്തഡ് തെളിയിക്കുന്നു, ഒരു ക്രെഡൻഷ്യൽ സെറ്റിന്, ഒരു RADIUS നയത്തിനെതിരെ, ഒരു നെറ്റ്വർക്ക് പാതയിലൂടെ. അത് ആക്സസ് പോയിന്റിന്റെ റേഡിയോ, സ്വിച്ചിന്റെ EAPOL കൈകാര്യം, ഓതന്റിക്കേഷനെ തുടർന്നുള്ള VLAN അനുവദനം, അല്ലെങ്കിൽ VPN കോൺസെൻട്രേറ്റർ അതേ സെർവറുമായി സംയോജിക്കുന്ന വിധം പരിശീലിപ്പിക്കുന്നില്ല. ആ ഘടകങ്ങൾ പരീക്ഷിച്ച പാതയിൽ ഒരിക്കലും ഉണ്ടായിരുന്നില്ല. ഫലം പരിമിതമായ തെളിവായി കാണുക, റിപ്പോർട്ട് ചെയ്യുമ്പോൾ അത് ഏത് പരിധി ഉൾക്കൊള്ളുന്നു എന്ന് പറയുക.

ഉപയോഗപ്രദമായ രേഖ സെർവറും പ്രോസസ്സും ഓരോന്നും നിരീക്ഷിച്ചതാണ്: ഏത് മെത്തഡ് ചർച്ച ചെയ്തു, കൈമാറ്റം എവിടെ നിന്നു, സെർവർ എന്ത് ലോഗ് ചെയ്തു. പങ്കിട്ട രഹസ്യങ്ങളും സ്വകാര്യ കീകളും ആ രേഖയ്ക്ക് പുറത്ത് സൂക്ഷിക്കുക.

ഫലം ഉദ്ധരിക്കുന്നതിന് മുൻപുള്ള പരിശോധനാ പട്ടിക

ആരെങ്കിലും ഔട്ട്പുട്ടിനെ അനുമതിയായി കാണുന്നതിന് മുൻപ് നാല് കാര്യങ്ങൾ സ്ഥിരീകരിക്കുക. ബിൽഡിൽ പരീക്ഷണത്തിലുള്ള മെത്തഡ് ഉണ്ട്, RADIUS എൻഡ്പോയിന്റും പങ്കിട്ട രഹസ്യവും പരീക്ഷണത്തിലുള്ള പരിസ്ഥിതിയുടേതാണ്, സെർവർ നയം ഈ ടെസ്റ്റ് ഐഡന്റിറ്റി അനുവദിക്കുന്നു, നെറ്റ്വർക്ക് പാത പ്രൊഡക്ഷൻ ക്ലയന്റുകൾ ഉപയോഗിക്കുന്ന അതേ വിഭാഗത്തിലുള്ളതാണ്. പിന്നീട് റൺ തൊടാത്തത് പേരെടുത്ത് പറയുക: ആക്സസ് പോയിന്റ്, സ്വിച്ച്, VLAN, കോൺസെൻട്രേറ്റർ സംയോജനം എന്നിവയ്ക്ക് ടെസ്റ്റ് പ്ലാനിൽ അതതിന്റെ വരി വേണം.

രണ്ട് ഉടമകളുള്ള രണ്ട് ടെസ്റ്റുകൾ ഒരു അവ്യക്ത അനുമതിയെ തോൽപ്പിക്കുന്നു. eapol_test റൺ മെത്തഡ്-ഉം-സെർവർ ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു; ആക്സസ് സേവനം പ്രയോഗത്തിന്റെ ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു.