VPN-ээр eapol_test: RADIUS солилцоонд 2-р давхарга хэрэгтэй юу?

Лабораторийн коммутаторын порт гуйж eapol_test ажиллуулах гэж байгаа бол та хэрэгслийг буруу уншсан байх. Peer болон RADIUS клиент хоёулаа тэр нэг бинари файл дотор амьдардаг тул машиныг орхих цорын ганц яриа бол RADIUS солилцоо өөрөө юм. Туршилтын хост болон баталгаажуулалтын серверийн хоорондох маршрутлагдсан туннель бол бүх сүлжээний шаардлага. Физик 802.1X зам нь өөр зүйл бөгөөд та үүнийг одоо ч турших шаардлагатай байж болно, энэ нь тэр биш.

Яагаад нэр нь хүмүүсийг коммутаторын порт хайхад хүргэдэг

EAPOL бол supplicant болон коммутаторын LAN дээр ашигладаг хүрээний формат бөгөөд хэрэгсэл нь тэр ертөнцөөс ургасан тул нэрийг зээлсэн. Нийлүүлж буй зүйл нь peer-ийн төлөвийн машин болон RADIUS клиентийг нэг процесст агуулсан туршилтын програм тул 802.1X ярианы хоёр хагас хэзээ ч утсан дээр уулздаггүй. Нэр нь түүх, топологийн шаардлага биш.

Хүмүүс портыг одоо ч гуйдаг, учир нь програм нь баталгаажуулагчийн зан төлөв дээр суудаг бөгөөд энэ нь техник хэрэгсэл мэт сонсогддог. Түүний цавуу нь баталгаажуулагчийн төлөвийн машиныг дахин үйлдвэрлэдэг тул өрөөнд хандалтын цэггүйгээр туршилт дуусдаг; компиллагдсан бинари нь wpa_supplicant-ийн EAP peer-ийг hostapd-ийн RADIUS клиенттэй холбодог. Коммутаторыг хасах нь EAPOL үсрэлтийг хасдаг, баталгаажуулалтын логикийг биш. Үлдэх зүйл бол хоёр IP хостын хоорондын клиент-сервер солилцоо юм.

Нэг RADIUS солилцоог үсрэлт үсрэлтээр дагана уу

Нэг оролдлогыг дага, зам богино. eapol_test доторх peer нь таны тохируулсан аргад зориулж EAP-Response үүсгэдэг бөгөөд мөн процесс дахь RADIUS клиент үүнийг Access-Request-д хийж, ачааг Message-Authenticator-ийн хажууд EAP-Message шинж чанаруудад зөөдөг. Тэр датаграм нь UDP 1812 порт дээр серверт хаяглагдаж, бусад IP пакет шиг хостноос гардаг, энд л туннель орж ирдэг. Сервер үүнийг өөрийн бодлого болон аргын модулиудаар үнэлж, дараа нь Access-Challenge, Access-Accept эсвэл Access-Reject-ээр хариулдаг.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Бинари нь серверийн хаяг, порт, хуваалцсан нууцыг командын мөрнөөс, арга болон итгэмжлэлийг wpa_supplicant хэв маягийн тохиргооны блокоос авдаг. Тэр дуудлагад юу ч 2-р давхаргын хөршлөлөөс хамаарахгүй: -a маршрутлалтаар хүрдэг бөгөөд түүнийг маршрутладаг VPN хангалттай. Хэрэв туннель датаграмыг унагавал туршилт нь хавтгай LAN дээр хүрэх боломжгүй серверийн эсрэг байгаа адил бүтэлгүйтдэг.

Бинари болон серверийн бодлого нь өөр жагсаалтууд

Арга нэвтрэх эсэхийг хоёр бие даасан жагсаалт шийддэг бөгөөд тэдгээрийг хольсон нэг өдрийг үрэгдүүлдэг. Эхний жагсаалт бинарид компиллагдсан: бүтээцийн тохиргоо нь ямар EAP аргууд байгааг сонгодог тул аргагүй бүтээц сервер юу зөвшөөрсөн ч түүнтэй хэлэлцэж чадахгүй. Хоёр дахь жагсаалт сервер дээр амьдардаг бөгөөд бодлого нь дэмжигдсэн аргуудаас энэ клиентийн анги аль нь ашиглаж болохыг хэлдэг. Нэвтрэхийн тулд огтлолцол хэрэгтэй бөгөөд аль ч жагсаалт нөгөөгийнхөө цоорхойг нөхөж чадахгүй.

Серверийг буруутгахаас өмнө тэр эхний жагсаалтыг шалга. Суулгасан бинариас аргын нэрийг хай, эсвэл түүний гарсан бүтээцийн тохиргоог унш. Хэрэв арга байхгүй бол RADIUS бодлогыг засахын оронд дахин бүтээ; хэрэв байгаа бөгөөд солилцоо одоо ч бүтэлгүйтвэл асуудал итгэмжлэл, бодлого эсвэл гэрчилгээний итгэл рүү шилжсэн.

Нэвтрэлт одоо ч юу хамардаггүй

Амжилттай гүйлт нь нэг аргыг, нэг итгэмжлэлийн багцад, нэг RADIUS бодлогын эсрэг, нэг сүлжээний замаар нотолдог. Энэ нь хандалтын цэгийн радио, коммутаторын EAPOL боловсруулалт, баталгаажуулалтын дараах VLAN хуваарилалт, эсвэл VPN төвлөрүүлэгч ижил сервертэй хэрхэн нэгддэг байдлыг дасгалжуулдаггүй. Тэдгээр бүрэлдэхүүн хэзээ ч туршсан зам дээр байгаагүй. Үр дүнг хязгаарлагдмал нотолгоо гэж үзэж, тайлагнахдаа ямар хязгаарыг хамардагийг хэл.

Хэрэгтэй бүртгэл бол сервер болон процесс тус бүр юу ажигласан: ямар арга хэлэлцэгдсэн, солилцоо хаана зогссон, сервер юу бүртгэсэн. Хуваалцсан нууц болон хувийн түлхүүрүүдийг тэр бүртгэлээс гадуур байлга.

Үр дүнг иш татахын өмнөх шалгах хуудас

Хэн нэгэн гаралтыг зөвшөөрөл гэж үзэхээс өмнө дөрвөн зүйлийг батал. Бүтээцэд туршиж буй арга байна, RADIUS төгсгөлийн цэг болон хуваалцсан нууц нь туршиж буй орчинд хамаарна, серверийн бодлого энэ туршилтын танихыг зөвшөөрдөг, сүлжээний зам нь үйлдвэрлэлийн клиентүүдийн ашигладаг замын ижил анги юм. Дараа нь гүйлт юунд хүрээгүйг нэрлэ: хандалтын цэг, коммутатор, VLAN болон төвлөрүүлэгчийн нэгдэл тус бүр туршилтын төлөвлөгөөнд өөрийн мөр шаарддаг.

Хоёр эзэнтэй хоёр туршилт нэг тодорхой бус зөвшөөрлийг ялдаг. eapol_test гүйлт нь арга ба серверийн асуултад хариулдаг; хандалтын үйлчилгээ нь хэрэгжүүлэлтийн асуултад хариулдаг.