eapol_test melalui VPN: perlukah pertukaran RADIUS lapisan 2?

Minta port suis makmal supaya anda boleh menjalankan eapol_test — dan anda mungkin tersalah membaca alat ini. Peer dan klien RADIUS kedua-duanya tinggal di dalam satu binari itu, jadi satu-satunya perbualan yang meninggalkan mesin ialah pertukaran RADIUS itu sendiri. Terowong yang dihalakan antara hos ujian dan pelayan pengesahan ialah keseluruhan keperluan rangkaian. Laluan 802.1X fizikal ialah perkara lain yang mungkin masih perlu anda uji, dan bukan ini.

Mengapa nama itu menghantar orang mencari port suis

EAPOL ialah format bingkai yang digunakan oleh supplicant dan suis pada LAN, dan alat ini meminjam nama itu kerana ia tumbuh daripada dunia tersebut. Yang dihantar ialah program ujian yang membawa mesin keadaan peer dan klien RADIUS dalam satu proses, jadi dua bahagian perbualan 802.1X tidak pernah bertemu di atas wayar. Nama itu sejarah, bukan keperluan topologi.

Orang masih meminta port kerana program ini bersandar pada tingkah laku pengesah, dan itu kedengaran seperti perkakasan. Glunya menghasilkan semula mesin keadaan pengesah, jadi ujian selesai tanpa titik akses di dalam bilik; binari yang dikompil memautkan peer EAP wpa_supplicant dengan klien RADIUS hostapd. Membuang suis membuang lonjakan EAPOL, bukan logik pengesahan. Yang tinggal ialah pertukaran klien-pelayan antara dua hos IP.

Ikuti satu pertukaran RADIUS lonjakan demi lonjakan

Ikuti satu percubaan dan laluannya pendek. Peer di dalam eapol_test menghasilkan EAP-Response untuk kaedah yang anda konfigurasikan, dan klien RADIUS dalam proses yang sama meletakkannya ke dalam Access-Request, membawa muatan dalam atribut EAP-Message di sebelah Message-Authenticator. Datagram itu dialamatkan kepada pelayan pada port UDP 1812 dan meninggalkan hos seperti mana-mana paket IP lain, dan di situlah terowong masuk. Pelayan menilainya terhadap dasar dan modul kaedahnya, kemudian menjawab dengan Access-Challenge, Access-Accept atau Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binari mengambil alamat pelayan, port dan rahsia bersama daripada baris arahan, serta kaedah dan kelayakan daripada blok konfigurasi gaya wpa_supplicant. Tiada apa-apa dalam panggilan itu bergantung pada kejiranan lapisan 2: -a dicapai melalui penghalaan, dan VPN yang menghalakannya sudah memadai. Jika terowong menggugurkan datagram, ujian gagal sama seperti terhadap pelayan yang tidak dapat dicapai pada LAN rata.

Binari dan dasar pelayan ialah senarai yang berbeza

Dua senarai bebas menentukan sama ada sesuatu kaedah boleh lulus, dan mengelirukan kedua-duanya memakan sehari. Senarai pertama dikompil ke dalam binari: konfigurasi binaan memilih kaedah EAP mana yang wujud, jadi binaan tanpa sesuatu kaedah tidak boleh merundingkannya apa pun yang dibenarkan pelayan. Senarai kedua tinggal di pelayan, tempat dasar menyatakan kaedah mana antara yang disokong boleh digunakan oleh kelas klien ini. Untuk lulus memerlukan persilangan, dan tiada senarai boleh mengisi jurang dalam yang lain.

Semak senarai pertama itu sebelum menyalahkan pelayan. Cari nama kaedah dalam binari yang dipasang, atau baca konfigurasi binaan asalnya. Jika kaedah tiada, bina semula daripada menyunting dasar RADIUS; jika ada dan pertukaran masih gagal, masalahnya telah berpindah ke kelayakan, dasar atau kepercayaan sijil.

Apa yang masih tidak diliputi oleh kelulusan

Larian yang berjaya membuktikan satu kaedah, untuk satu set kelayakan, terhadap satu dasar RADIUS, melalui satu laluan rangkaian. Ia tidak melatih radio titik akses, pengendalian EAPOL sesuatu suis, penetapan VLAN yang menyusuli pengesahan, atau cara konsentrator VPN berintegrasi dengan pelayan yang sama. Komponen itu tidak pernah berada di laluan yang diuji. Anggap hasilnya sebagai bukti terbatas, dan nyatakan had mana yang diliputinya apabila anda melaporkannya.

Rekod yang berguna ialah apa yang diperhatikan oleh pelayan dan proses masing-masing: kaedah mana yang dirundingkan, di mana pertukaran berhenti, dan apa yang dilog oleh pelayan. Jauhkan rahsia bersama dan kunci peribadi daripada rekod itu.

Senarai semak sebelum memetik hasilnya

Sebelum sesiapa menganggap output itu sebagai kelulusan, sahkan empat perkara. Binaan mengandungi kaedah yang diuji, titik akhir RADIUS dan rahsia bersama milik persekitaran yang diuji, dasar pelayan menerima identiti ujian ini, dan laluan rangkaian ialah kelas yang sama dengan yang digunakan oleh klien pengeluaran. Kemudian namakan apa yang tidak disentuh oleh larian: titik akses, suis, VLAN dan integrasi konsentrator masing-masing memerlukan barisnya sendiri dalam pelan ujian.

Dua ujian dengan dua pemilik mengalahkan satu kelulusan kabur. Larian eapol_test menjawab soalan kaedah-dan-pelayan; perkhidmatan akses menjawab soalan penguatkuasaan.