RADIUS яагаад VPN хэрэглэгчийн нэрийн оронд IP хаяг хардаг вэ

strongSwan нь аливаа EAP солилцооноос өмнө IKE таних мэдээллийг RADIUS User-Name-д хийж чадна. Бүртгэлийн таних мэдээллийг хэн хүсэхийг шийдэж, дараа нь нэг оролдлогыг уялдуулна уу.

Windows IKEv2 клиент холбогдож, RADIUS хүсэлт бүртгэлийн нэр байх ёстой газарт хаягтай ирдэг. Одоохондоо юу ч бүтэлгүйтээгүй бөгөөд яг энэ нь төөрөгдүүлдэг: гарц клиентийн IKE түвшинд танилцуулсан таних мэдээллийг мэдээлж байна. Таны бэкенд хүсч буй хэрэглэгчийн нэр хараахан болоогүй тусдаа EAP солилцооноос ирж болно. Бүртгэлийг өөрчлөхөөс өмнө хэн хүсэхийг шийдээрэй.

Нэг холболтоор хоёр таних мэдээлэл аялдаг

Нэг холболтонд хоёр нэр гарч болно. IKE таних мэдээлэл нь туннель тохируулах үед хамтрагчийг таньж, eap-radius залгаас эхлээд үүнийг RADIUS User-Name руу хуулдаг. EAP таних мэдээлэл нь хэрэглэгчийг баталгаажуулахад хэрэглэгддэг өөр утга бөгөөд хэн ч хүсэхгүй бол хэзээ ч илгээгдэхгүй байж болно.

Тиймээс бүртгэл байгаа, нууц үг зөв байсан ч RADIUS лог хаяг харуулж болно. Бэкендээс буруу түвшний талаар асууж байна. RADIUS шинж чанар нь зөвхөн сонгосон нэрийн тээвэрлэгч юм.

Гарцаас EAP таних мэдээлэл хүсэхийг хүсээрэй

Дэмжигдсэн нэг зохион байгуулалт нь гарцыг баталгаажуулалтыг RADIUS-д шилжүүлэхээс өмнө EAP таних мэдээллийг хүсэх боломж олгодог. Холболтын алсын баталгаажуулалтын хэсэгт аргыг eap-radius болгож, EAP таних мэдээллийг тодорхой хүсээрэй. Доорх хэсэг нь өөрийн файлд биш, одоо байгаа холболтын блок дотор хамаарна. Өөр байршуулалтаас синтакс хуулахаас өмнө холболт болон тохиргооны бэкендийг баталгаажуулаарай.

remote {
    auth = eap-radius
    eap_id = %any
}

Үүгээр бэкенд IKE хаягийн оронд клиентийн EAP солилцоонд өгсөн таних мэдээллийг хүлээн авна. Холболтын өөр зүйл өөрчлөгдөхгүй.

Эсвэл RADIUS EAP солилцоог эхлүүлээрэй

Нөгөө зохион байгуулалт эхний алхмыг RADIUS талд үлдээдэг. Залгаас эхний таних хариу хүлээхийн оронд EAP-Start дохио илгээж болох бөгөөд энэ нь серверт солилцоог удирдах боломж олгоно. Энэ нь залгаасын түвшний тохиргоо тул залгаасыг ашигладаг бүх холболтод нөлөөлнө.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Хоёуланг нь идэвхжүүлж найдахын оронд RADIUS оператортой нэг зохион байгуулалтыг сонгоорой. Тэд өөр өөр ажлын урсгалыг тодорхойлдог бөгөөд эхлэхийг хүлээж буй сервер яриаг эхлүүлж буй гарцыг заавал зохицуулж чадахгүй. Залгаасын баримт бичиг хоёуланг нь тайлбарлаж, алхам бүр ямар таних мэдээлэл зөөдгийг ч оруулсан.

Нэг оролдлогыг хоёр логт хянаарай

Нэг оролдлогыг хоёр логт уялдуулаарай. IKE таних мэдээллийг, дараа нь EAP-Identity солилцоо болж буй эсэхийг, дараа нь баталгаажуулалтын алхам ямар нэр авдгийг хараарай. EAP солилцооноос өмнө хаягийг татгалзсан бэкенд таны зорьсон таних мэдээлэл хэзээ ч харагдахаас өмнө үйл явцыг зогсоож болно.

journalctl -u strongswan -f

Таних системийн хүлээж буй хэрэглэгчийн нэрийн яг форматыг домэйн угтвартай нь хамт хадгалаарай. Хаягийн хэлбэртэй утгаас хэзээ ч бүртгэл зохиохгүй, бодлогын дүрмийг биелүүлэхийн тулд баталгаажуулалтыг хэзээ ч унтраахгүй. EAP таних мэдээлэл бол мэдэгдсэн нэр бөгөөд арга нь үүнийг батлах ёстой хэвээр. Гарсан нэрийг туршилтын бүртгэлд бичээрэй, дараагийн оролдлого мэдэгдэж буй төлвөөс эхэлнэ.

Засварласан урсгал зөв бүртгэлд хүрсэн ч татгалзсан хэвээр бол дараагийн нотолгоо нь таних мэдээлэл биш, EAP арга болон бэкендийн бодлого юм. Нууц үг шинэчлэхийг давтах нь өмнөх протоколын түвшинд сонгосон утгыг засахгүй.

Холбоотой нийтлэлүүд