EAP jew ċertifikati tal-klijent? Tiddeċiedi l-awtentikazzjoni IKEv2

Il-gateway tiegħek jista’ jipprova l-identità tiegħu stess b’ċertifikat filwaqt li jipprova tiegħek permezz ta’ EAP, u dik il-kombinazzjoni hija komuni mhux kontradittorja. Iż-żewġ mekkaniżmi jwieġbu mistoqsijiet differenti: dan il-punt tat-tarf huwiex dak li nistenna, u dan l-utent jew dan l-apparat huwiex permess. Li tara EAP fi profil ma jitfixx il-validazzjoni tas-server. Huwa l-qari tal-profil bħala setting waħdanija li jwassal lin-nies biex jirrisettjaw il-kredenzjali ħażina.

Iddeċiedi liema pretensjoni falliet qabel ma tmiss xi wieħed miż-żewġ oġġetti. L-istadju tal-falliment jgħidlek, jekk taqrah bl-ordni.

Żewġ kredenzjali, żewġ pretensjonijiet

Ċertifikat tas-server jorbot isem ma’ ċavetta, u l-klijent jiċċekkja dik ir-rabta mal-maħżen tal-fiduċja tiegħu. Ċertifikat tal-klijent jorbot identità ma’ ċavetta, u l-gateway jiċċekkja jekk iċ-ċertifikat ippreżentat huwiex marbut b’katina ma’ xi ħaġa li jafda. EAP iġorr skambju ta’ awtentikazzjoni li l-kontenut tiegħu jiddependi mill-metodu magħżul. Dawn huma tliet strutturi b’ħajja, sidien u modi ta’ falliment differenti.

Passphrase li tiftaħ ċavetta privata mhijiex password tal-kont, anki meta ż-żewġ talbiet jidhru fi ftit sekondi minn xulxin. Waħda hija lokali fil-maħżen taċ-ċwievet tal-apparat, u l-oħra hija vvalidata minn server ta’ awtentikazzjoni wara l-gateway.

EAP huwa kontenitur, mhux metodu

EAP huwa qafas: il-gateway u l-klijent jinnegozjaw metodu, u l-metodu jiddeċiedi jekk hijiex involuta password, token, skambju intern tunneljat jew ċertifikat, kif jispjega d-dokumentazzjoni ta’ strongSwan dwar IKEv2. Huwa għalhekk li EAP-TLS ma jixbah xejn lil EAP-MSCHAPv2 min-naħa tal-klijent, għalkemm it-tnejn jidhru bħala EAP fil-menu. Profil li jsemmi biss EAP ma qallekx x’se jiġi mitlub mill-utent.

Aqra l-metodu u l-backend flimkien. Il-backend jiddetermina l-format tal-kont, l-imġiba tal-illokkjar u x’jinbidel tassew b’risettjar tal-password, u xejn minn dan mhuwa viżibbli fil-profil tal-klijent.

L-iskjerament imħallat huwa normali

Ċertifikat tas-server flimkien ma’ EAP għall-utent hija l-forma li jiskjeraw ħafna mill-gateways tal-aċċess mill-bogħod, għax tagħti lill-klijent punt tat-tarf verifikabbli u lill-operatur identità għal kull utent f’maħżen tal-kontijiet ċentrali. Jeżistu wkoll skjeramenti b’ċertifikati tal-klijent, normalment fejn l-identità tal-apparat timporta aktar minn password. It-tnejn huma leġittimi, u l-iżball huwa li tassumi li dak li rajt il-ġimgħa li għaddiet huwa dak li hemm quddiemek.

Staqsi lill-operatur għall-metodu u l-format tal-kont dokumentati minflok ma tiddeduċihom mill-ismijiet tal-oqsma fi klijent.

Deċiżjoni mill-istadju tal-falliment

Irranka l-osservazzjonijiet. Żball ta’ fiduċja qabel kwalunkwe talba tal-utent huwa problema taċ-ċertifikat tas-server u ebda password ma tiswiha. Talba li tiġi segwita b’rifjut hija problema ta’ awtentikazzjoni tal-utent, bil-metodu EAP u l-backend bħala suspettati. Awtentikazzjoni b’suċċess li tiġi segwita b’falliment child-SA mhijiex waħda mit-tnejn.

Żewġ distinzjonijiet oħra jgħoddu. Klijent li jirrifjuta ċ-ċertifikat tas-server normalment jirrapporta nuqqas ta’ qbil fl-isem jew awtorità mhux magħrufa, li hija kwistjoni tal-maħżen tal-fiduċja. Gateway li jirrifjuta l-utent spiss jirreġistra l-metodu EAP u kategorija ta’ raġuni, li hija kwistjoni ta’ kont jew politika.

Tmexxija taż-żewġ mudelli

Għaċ-ċertifikati x-xogħol huwa ħruġ, tiġdid, revoka u tneħħija ta’ apparati mitlufa, u jiġri skont skeda li tikkontrolla int. Għall-EAP ix-xogħol huwa ċ-ċiklu tal-ħajja tal-kont, l-appoġġ tal-metodi fuq kull pjattaforma tal-klijent u kull fattur ieħor li jitlob il-backend. L-ebda mudell mhu rħis astrattament; it-tnejn jagħbbu timijiet differenti. Ikteb liema wieħed tassew juża l-iskjerament tiegħek, għax l-iscripts ta’ appoġġ ivarjaw aktar mill-konfigurazzjoni.

Żommhom separati fin-noti tiegħek. Skadenza ta’ ċertifikat tipproduċi falliment f’data, illokkjar tal-kont jipproduċi falliment wara bidla fil-password, u nuqqas ta’ qbil fil-metodu jipproduċi falliment fuq pjattaforma waħda biss.

Wara li l-identità tiġi aċċettata

L-awtentikazzjoni hija bieb wieħed. L-assoċjazzjoni tas-sigurtà tat-tifel, is-seletturi tat-traffiku, id-DNS u l-permessi tal-applikazzjoni stess huma bibien aktar tard, u kull wieħed ifalli bil-kundizzjonijiet tiegħu. Identità aċċettata li ma tilħaq xejn mhijiex problema ta’ awtentikazzjoni.

Irreġistra l-metodu, il-kont jew iċ-ċertifikat użat u l-istadju li falla. Dik in-nota ddawwar l-inċident li jmiss fi tfittxija minflok esperiment.