EAP atau sijil klien? Menentukan pengesahan IKEv2

Gerbang anda boleh membuktikan identitinya sendiri dengan sijil sambil membuktikan identiti anda melalui EAP, dan gabungan itu biasa, bukan bercanggah. Kedua-dua mekanisme menjawab soalan berbeza: adakah titik akhir ini yang saya jangkakan, dan adakah pengguna atau peranti ini dibenarkan. Melihat EAP dalam profil tidak mematikan pengesahan pelayan. Membaca profil sebagai satu tetapan tunggal itulah yang menyebabkan orang menetapkan semula kelayakan yang salah.

Tentukan tuntutan mana yang gagal sebelum menyentuh mana-mana daripada dua objek itu. Peringkat kegagalan memberitahunya, jika anda membacanya mengikut urutan.

Dua kelayakan, dua tuntutan

Sijil pelayan mengikat nama kepada kunci, dan klien menyemak ikatan itu terhadap stor kepercayaannya. Sijil klien mengikat identiti kepada kunci, dan gerbang menyemak sama ada sijil yang dikemukakan berantai kepada sesuatu yang dipercayainya. EAP membawa pertukaran pengesahan yang kandungannya bergantung pada kaedah yang dipilih. Itu tiga struktur dengan jangka hayat, pemilik dan mod kegagalan yang berbeza.

Frasa laluan yang membuka kunci peribadi bukan kata laluan akaun, walaupun kedua-dua gesaan muncul dalam beberapa saat antara satu sama lain. Satu adalah setempat dalam stor kunci peranti, dan satu lagi disahkan oleh pelayan pengesahan di belakang gerbang.

EAP ialah bekas, bukan kaedah

EAP ialah rangka kerja: gerbang dan klien berunding tentang kaedah, dan kaedah menentukan sama ada kata laluan, token, pertukaran dalaman terowong atau sijil terlibat, seperti yang dijelaskan oleh dokumentasi strongSwan tentang IKEv2. Itulah sebabnya EAP-TLS sama sekali tidak menyerupai EAP-MSCHAPv2 dari sisi klien, walaupun kedua-duanya muncul sebagai EAP dalam menu. Profil yang hanya menamakan EAP tidak memberitahu anda apa yang akan ditanya kepada pengguna.

Baca kaedah dan backend bersama-sama. Backend menentukan format akaun, tingkah laku kunci keluar dan apa yang sebenarnya diubah oleh penetapan semula kata laluan, dan tiada satu pun daripada itu kelihatan dalam profil klien.

Penggunaan bercampur adalah normal

Sijil pelayan serta EAP untuk pengguna ialah bentuk yang digunakan oleh kebanyakan gerbang akses jauh, kerana ia memberi klien titik akhir yang boleh disahkan dan memberi pengendali identiti setiap pengguna dalam stor akaun pusat. Penggunaan dengan sijil klien juga wujud, biasanya di tempat identiti peranti lebih penting daripada kata laluan. Kedua-duanya sah, dan kesilapannya ialah menganggap apa yang anda lihat minggu lalu ialah apa yang ada di hadapan anda.

Tanya pengendali tentang kaedah dan format akaun yang didokumenkan dan bukannya menyimpulkannya daripada nama medan dalam klien.

Membuat keputusan daripada peringkat kegagalan

Susun pemerhatian. Ralat kepercayaan sebelum sebarang gesaan pengguna ialah masalah sijil pelayan dan tiada kata laluan akan membaikinya. Gesaan yang diikuti penolakan ialah masalah pengesahan pengguna, dengan kaedah EAP dan backend sebagai suspek. Pengesahan berjaya yang diikuti kegagalan child-SA bukan kedua-duanya.

Dua lagi perbezaan penting. Klien yang menolak sijil pelayan biasanya melaporkan ketidakpadanan nama atau pihak berkuasa tidak diketahui, yang merupakan persoalan stor kepercayaan. Gerbang yang menolak pengguna sering merekodkan kaedah EAP dan kategori sebab, yang merupakan persoalan akaun atau dasar.

Mengendalikan kedua-dua model

Untuk sijil, kerjanya ialah pengeluaran, pembaharuan, pembatalan dan penyingkiran peranti yang hilang, dan ia berlaku mengikut jadual yang anda kawal. Untuk EAP, kerjanya ialah kitaran hayat akaun, sokongan kaedah pada setiap platform klien dan faktor kedua yang diperlukan oleh backend. Tiada model yang lebih murah secara abstrak; kedua-duanya membebankan pasukan yang berbeza. Catatkan yang mana sebenarnya digunakan oleh penggunaan anda, kerana skrip sokongan berbeza lebih jauh daripada konfigurasi.

Simpan kedua-duanya berasingan dalam nota anda. Luput sijil menghasilkan kegagalan pada tarikh tertentu, kunci akaun menghasilkan kegagalan selepas perubahan kata laluan, dan ketidakpadanan kaedah menghasilkan kegagalan pada satu platform sahaja.

Selepas identiti diterima

Pengesahan ialah satu pintu. Persatuan keselamatan anak, pemilih trafik, DNS dan kebenaran aplikasi itu sendiri ialah pintu kemudian, dan setiap satu gagal mengikut syaratnya sendiri. Identiti yang diterima tetapi tidak mencapai apa-apa bukan masalah pengesahan.

Rekodkan kaedah, akaun atau sijil yang digunakan, dan peringkat yang gagal. Nota itu menjadikan insiden seterusnya sebagai carian dan bukannya eksperimen.