VPN гарцаар EAP: аргыг хэн дуусгадаг вэ

Тусламжийн тасалбарт амжилтгүй VPN нэвтрэлт, илүү хүчтэй арга шаардсан RADIUS бодлогыг нэг асуудал мэт бичдэг боловч тийм биш. Гарц нь нэвтрэх мэдээллийг хүлээж дамжуулах, эсвэл клиент болон нэвтрүүлэлтийн серверийн хооронд EAP яриа агуулна. Аль нь болж байгаа нь серверийн талын өөрчлөлт ямар нэг зүйлийг засч чадах эсэхийг тодорхойлно. Серверийн бүлгийг засахын өмнө солилцоог уншина уу.

Лог дээр ижил харагдах нэвтрүүлэлтийн хоёр зам

Эхний замд VPN гарц хэрэглэгчийн нэр, нууц үгийг цуглуулж, нууц үгийн шинж чанартай RADIUS Access-Request илгээдэг. Нэвтрүүлэлтийн сервер түүнийг өөрийн сантай харьцуулж хүлээн авах эсвэл татгалзах гэж хариулна. Клиент EAP аргыг хэзээ ч гүйцэтгэдэггүй, учир нь хэн ч шаардаагүй.

Хоёр дахь замд клиент болон нэвтрүүлэлтийн сервер EAP аргыг эхнээс нь дуустал гүйцэтгэдэг, гарц нь тэдний хооронд EAP-Message шинж чанаруудыг дамжуулдаг. Гарц гадаад RADIUS яриаг хэвээр дуусгадаг ч аргын логик хоёр төгсгөлд байдаг.

Хоёр зам лог дээр нэвтрүүлэлт амжилтгүй болсон гэсэн мөр үүсгэдэг. Зөвхөн хоёр дахь нь серверийн илүүд үздэг EAP аргаас хамаарч, зөвхөн эхний нь гарц нууц үгийг хэрхэн уншихаас хамаарна. Тэднийг сольж болохуйц гэж үзэх нь PEAP ярьж чадахгүй клиентийн төлөө багууд өдөржингөө серверийн бүлэг сольдог шалтгаан юм.

Арга үнэхээр хаана ажилладаг вэ

RFC 3579 дамжуулалтын зохион байгуулалтыг тодорхойлдог: NAS нь EAP пакетуудыг RADIUS шинж чанаруудад агуулж, EAP төрөл бүрт аргад тусгай код шаардлагагүй. Тиймээс гарц PEAP болон EAP-TLS-ийг аль нэгийг нь хэрэгжүүлэхгүйгээр дэмжиж чадна.

Нууц үг илгээдэг гарц PEAP агуулдаггүй, арын систем өөр клиентээс PEAP хүлээн авсан ч мөн адил. Серверийн бодлогод PEAP идэвхжүүлэх нь хэзээ ч санал болгоогүй клиентэд арга нэмэхгүй.

PPP нэвтрүүлэлтийн тохиргоо PPP үйлчилгээнд хамаарна. Тэд ижил AAA сервер ашигладаг IPsec эсвэл хуучин XAuth зам бүрийг чимээгүй дахин тохируулдаггүй, тиймээс нэг хандалтын төрөлд ажилладаг өөрчлөлт нөгөөг нь хөндөхгүй орхиж болно.

NAS юуг дэмжих ёстой вэ

Дамжуулалт шаардлагыг аргын кодоос зөөгчийн дэмжлэг рүү шилжүүлдэг. Гарц EAP-г өөрийн VPN протоколоор зөөж чадах ёстой, түүн дээрх RADIUS клиент холбогдох хэмжээтэй EAP-Message шинж чанаруудыг илгээж, хүлээн авч чадах ёстой.

IKEv2-ийн хувьд EAP нь тодорхойлсон нэвтрүүлэлтийн урсгалын хэсэг бөгөөд серверийн таних, итгэх шалгалтууд тэр урсгалаас гаралтай. 802.1X байршуулалтаас зээлсэн PEAP шошго автоматаар шилждэггүй, учир нь түүний эргэн тойрны хэлэлцээр өөр.

Клиентийн талд ч шаардлага бий. Тэр аргын хувьд тохируулагдсан, аргын танилцуулсан серверийн гэрчилгээнд итгэдэг, аргын ашиглаж болох нэвтрэх мэдээлэлтэй байх ёстой. Клиентийн гэрчилгээгүй гэрчилгээнд суурилсан арга RADIUS ямар нэг зүйл харахаас өмнө бүтэлгүйтдэг, энэ нь серверийн бодлого биш харин хангамжийн асуудал.

Бодлого солихын өмнө нэг оролдлогыг уншаарай

Гарц болон нэвтрүүлэлтийн сервер дээр нэг зөвшөөрөгдсөн оролдлогыг бичээрэй. RADIUS хүсэлтээс EAP-Message шинж чанаруудыг хай. Тэдний байгаа нь дамжуулалтын зам ашиглагдаж байгааг хэлнэ; байхгүй нь нэвтрэх мэдээллийн солилцоог заана.

Linux гарц дээр RADIUS порт дээрх бичлэг шугам дээр ямар шинж чанар байгааг харуулна:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Дараа нь татгалзах цэгийг харьцуул. RADIUS пакетаас өмнө гарц дээр гарсан алдаа нь клиент болон гарц аргын талаар санал нийлээгүйг илтгэнэ. EAP шинж чанартай RADIUS татгалзал нь төгсгөлүүд аргыг гүйцэтгэж, аль нэг нь үр дүнг татгалзсаныг илтгэнэ.

Шилжилтийг эхнээс дуустал нэг өөрчлөлт гэж төлөвлө

Аргыг солих гэдэг нь клиентийн тохиргоо, гарцын зөөгчийн дэмжлэг, серверийн аргын бодлого, нэвтрэх мэдээллийн санг хамт солихыг хэлнэ. Үүнийг энэ дарааллаар хийж, шинийг нотлох хүртэл ажиллаж буй замыг хадгал. Зөвхөн серверийн талын өөрчлөлт таамаг бөгөөд ихэвчлэн ажиллаж байсан клиентүүдийг эвддэг. Бүлэгт хүрэхийн өмнө нэг туршилтын таних дээр өөрчлөлтийг бэлдээрэй.

Ажиллаж буй хослолыг тэмдэглэ: VPN протокол, EAP зөөгч, түншийн арга, серверийн арга, нэвтрэх мэдээллийн төрөл, серверийн таних шалгалт.

Захиргааны AAA нэвтрэлтийг VPN нэвтрүүлэлтээс тусад нь бариарай, хэрэв даалгавар хоёуланг нь тодорхой агуулаагүй бол. Алсын хандалтад зориулсан өөрчлөлт нь үүнийг дуусгадаг төхөөрөмжийг удирдах чадварыг танаас авах ёсгүй.