EAP melalui gateway VPN: siapa menamatkan kaedah

Tiket meja bantuan menerangkan log masuk VPN yang gagal dan dasar RADIUS yang menuntut kaedah lebih kukuh seolah-olah kedua-duanya masalah yang sama, padahal bukan. Gateway sama ada menerima kelayakan dan memajukannya, atau membawa perbualan EAP antara klien dan pelayan pengesahan. Yang mana berlaku menentukan sama ada perubahan di pihak pelayan boleh membaiki apa-apa. Baca pertukaran itu sebelum menyunting kumpulan pelayan.

Dua laluan pengesahan yang kelihatan sama dalam log

Pada laluan pertama, gateway VPN mengumpul nama pengguna dan kata laluan lalu menghantar RADIUS Access-Request dengan atribut kata laluan. Pelayan pengesahan membandingkannya dengan storannya dan menjawab terima atau tolak. Klien tidak pernah menjalankan kaedah EAP kerana tiada apa-apa yang memintanya.

Pada laluan kedua, klien dan pelayan pengesahan menjalankan kaedah EAP dari hujung ke hujung, dan gateway memajukan atribut EAP-Message antara mereka. Gateway masih menamatkan perbualan RADIUS luar, tetapi logik kaedah itu terletak di kedua-dua hujung.

Kedua-dua laluan menghasilkan baris dalam log yang menyatakan pengesahan gagal. Hanya laluan kedua boleh dipengaruhi oleh kaedah EAP yang diutamakan pelayan, dan hanya laluan pertama oleh cara gateway membaca kata laluan. Menganggapnya setara ialah sebab pasukan menghabiskan sehari menukar kumpulan pelayan untuk klien yang tidak akan pernah bercakap PEAP.

Di mana kaedah itu sebenarnya berjalan

RFC 3579 mentakrifkan aturan penyaluran: NAS membawa paket EAP dalam atribut RADIUS dan tidak memerlukan kod khusus kaedah bagi setiap jenis EAP. Sebab itu gateway boleh menyokong PEAP dan EAP-TLS tanpa melaksanakan mana-mana satu.

Gateway yang menghantar kata laluan tidak membawa PEAP, walaupun backend akan menerima PEAP daripada klien lain. Mengaktifkan PEAP dalam dasar pelayan tidak menambah kaedah kepada klien yang tidak pernah menawarkannya.

Tetapan pengesahan PPP milik perkhidmatan PPP. Ia tidak mengkonfigurasi semula secara senyap setiap laluan IPsec atau XAuth lama yang menggunakan pelayan AAA yang sama, jadi perubahan yang berkesan untuk satu jenis akses boleh membiarkan yang lain tidak tersentuh.

Apa yang NAS mesti sokong

Penyaluran memindahkan keperluan daripada kod kaedah kepada sokongan pembawa. Gateway mesti dapat membawa EAP melalui protokol VPNnya, dan klien RADIUS di atasnya mesti dapat menghantar dan menerima atribut EAP-Message dengan saiz berkenaan.

Bagi IKEv2, EAP ialah sebahagian daripada aliran pengesahan yang ditakrifkan, dan pemeriksaan identiti serta kepercayaan pelayan datang daripada aliran itu. Label PEAP yang dipinjam daripada penggunaan 802.1X tidak berpindah secara automatik kerana rundingan di sekelilingnya berbeza.

Pihak klien juga mempunyai keperluan. Ia mesti dikonfigurasi untuk kaedah itu, mempercayai sijil pelayan yang dikemukakan kaedah, dan mempunyai kelayakan yang boleh digunakan oleh kaedah. Kaedah berasaskan sijil tanpa sijil klien gagal sebelum RADIUS melihat apa-apa, dan itu masalah penyediaan, bukan dasar pelayan.

Baca satu percubaan sebelum menukar dasar

Tangkap satu percubaan yang diluluskan di gateway dan di pelayan pengesahan. Cari atribut EAP-Message dalam permintaan RADIUS. Kehadirannya menunjukkan laluan penyaluran digunakan; ketiadaannya menunjuk kepada pertukaran kelayakan.

Pada gateway Linux, tangkapan pada port RADIUS menunjukkan atribut mana yang ada pada wayar:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Kemudian bandingkan titik penolakan. Kegagalan di gateway sebelum mana-mana paket RADIUS bermakna klien dan gateway tidak bersetuju tentang kaedah itu. Penolakan RADIUS yang membawa atribut EAP bermakna kedua-dua hujung menjalankan kaedah dan salah satunya menolak hasilnya.

Rancang penghijrahan sebagai satu perubahan hujung ke hujung

Menukar kaedah bermakna menukar bersama konfigurasi klien, sokongan pembawa di gateway, dasar kaedah di pelayan dan stor kelayakan. Lakukan dalam urutan itu dan kekalkan laluan yang berfungsi sehingga yang baharu terbukti. Perubahan di pihak pelayan sahaja ialah tekaan dan biasanya merosakkan klien yang berfungsi. Sediakan perubahan pada satu identiti ujian sebelum menyentuh kumpulan itu.

Catat kombinasi yang berfungsi: protokol VPN, pembawa EAP, kaedah rakan, kaedah pelayan, jenis kelayakan dan pemeriksaan identiti pelayan.

Asingkan AAA log masuk pentadbiran daripada pengesahan VPN kecuali tugas itu merangkumi kedua-duanya secara jelas. Perubahan untuk akses jauh tidak sepatutnya menghilangkan keupayaan anda mengurus peranti yang menamatkannya.