EAP permezz ta' gateway VPN: min itemm il-metodu

It-tickets tad-desk jiddeskrivu dħul VPN fallut u politika RADIUS li titlob metodu aktar b'saħħtu bħallikieku huma l-istess problema, u mhumiex. Il-gateway jew jaċċetta l-kredenzjali u jgħaddihom, jew iġorr konverżazzjoni EAP bejn il-klijent u s-server tal-awtentikazzjoni. Liema minnhom jiġri jiddeċiedi jekk bidla fuq in-naħa tas-server tistax issolvi xi ħaġa. Aqra l-iskambju qabel ma tbiddel il-grupp tas-server.

Żewġ toroq tal-awtentikazzjoni li jidhru l-istess fid-dokument

Fl-ewwel triq il-gateway VPN jiġbor isem l-utent u password u jibgħat RADIUS Access-Request b'attribut tal-password. Is-server tal-awtentikazzjoni jqabbel ma' maħżenu u jwieġeb aċċettat jew miċħud. Il-klijent qatt ma jmexxi metodu EAP, għax ħadd ma talbu.

Fit-tieni triq il-klijent u s-server tal-awtentikazzjoni jmexxu l-metodu EAP mill-bidu sal-aħħar, u l-gateway jgħaddi attributi EAP-Message bejniethom. Il-gateway xorta jtemm il-konverżazzjoni RADIUS ta' barra, imma l-loġika tal-metodu tgħix fiż-żewġt itruf.

Iż-żewġ toroq jipproduċu linja fid-dokument li tgħid li l-awtentikazzjoni falliet. Huwa biss it-tieni li jista' jiġi affettwat mill-metodu EAP li jippreferi s-server, u huwa biss l-ewwel mill-mod kif il-gateway jaqra l-password. Li tittrattahom bħala skambjabbli huwa għaliex it-timijiet iqattgħu jum ibiddlu l-gruppi tas-server għal klijent li qatt ma kien se jitkellem PEAP.

Fejn il-metodu tassew jaħdem

RFC 3579 jiddefinixxi l-arranġament tal-passaġġ: in-NAS iġorr pakketti EAP f'attributi RADIUS u m'għandux bżonn kodi speċifiku għall-metodu għal kull tip ta' EAP. Għalhekk gateway jista' jappoġġja PEAP u EAP-TLS mingħajr ma jimplimenta xi wieħed minnhom.

Gateway li jressaq password ma jġorrx PEAP, anki jekk il-backend jaċċetta PEAP minn klijent ieħor. L-abilitazzjoni ta' PEAP fil-politika tas-server ma żżidx metodu ma' klijent li qatt ma offra wieħed.

Is-settings tal-awtentikazzjoni PPP jappartjenu lis-servizz PPP. Dawn ma jikkonfiguraw mill-ġdid bil-moħbi kull triq IPsec jew XAuth antika li tuża l-istess server AAA, għalhekk bidla li taħdem għal tip ta' aċċess wieħed tista' tħalli l-ieħor ma jintmissx.

X'għandu jappoġġja n-NAS

Il-passaġġ iċaqlaq ir-rekwiżit mill-kodi tal-metodu għall-appoġġ tal-ġarrier. Il-gateway irid ikun jista' jġorr EAP fuq il-protokoll VPN tiegħu, u l-klijent RADIUS fuqu irid ikun jista' jibgħat u jirċievi attributi EAP-Message tad-daqsijiet involuti.

Għal IKEv2, EAP huwa parti minn fluss ta' awtentikazzjoni definit, u l-kontrolli tal-identità u tal-fiduċja tas-server ġejjin minn dak il-fluss. Tikketta PEAP mislufa minn installazzjoni 802.1X ma tgħaddix awtomatikament, għax in-negozjati madwarha huma differenti.

In-naħa tal-klijent ukoll għandha rekwiżiti. Trid tkun ikkonfigurata għall-metodu, tafda ċ-ċertifikat tas-server li jippreżenta l-metodu, u jkollha kredenzjali li l-metodu jista' juża. Metodu bbażat fuq ċertifikat mingħajr ċertifikat tal-klijent ifalli qabel ma RADIUS jara xi ħaġa, u din hija problema tal-forniment mhux tal-politika tas-server.

Aqra tentattiv wieħed qabel ma tbiddel il-politika

Aqbad tentattiv wieħed approvat fil-gateway u fis-server tal-awtentikazzjoni. Fittex attributi EAP-Message fit-talba RADIUS. Il-preżenza tagħhom tgħid li t-triq tal-passaġġ qed tintuża; in-nuqqas tagħhom jindika skambju ta' kredenzjali.

Fuq gateway Linux, qabda fuq il-port RADIUS turi liema attributi qegħdin fuq il-wire:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Imbagħad qabbel il-punt tar-rifjut. Falliment fil-gateway qabel xi pakkett RADIUS ifisser li l-klijent u l-gateway ma qablux dwar il-metodu. Rifjut RADIUS li jġorr attributi EAP ifisser li t-truf mexxew il-metodu u wieħed minnhom irrifjuta r-riżultat.

Ippjana l-migrazzjoni bħala bidla waħda minn tarf għal tarf

Li tbiddel il-metodu jfisser tbiddel flimkien il-konfigurazzjoni tal-klijent, l-appoġġ tal-ġarrier fil-gateway, il-politika tal-metodu fis-server u l-maħżen tal-kredenzjali. Agħmel dan f'dak l-ordni u żomm triq li taħdem sakemm dik il-ġdida tiġi ppruvata. Bidla fuq in-naħa tas-server biss hija konġettura u normalment tkisser il-klijenti li kienu qed jaħdmu. Ħejji l-bidla fuq identità tat-test waħda qabel ma tmiss il-grupp.

Innota l-kombinazzjoni li taħdem: protokoll VPN, ġarrier EAP, metodu tal-pari, metodu tas-server, tip ta' kredenzjali u verifika tal-identità tas-server.

Żomm l-AAA tad-dħul amministrattiv separat mill-awtentikazzjoni VPN sakemm il-kompitu ma jinkludix it-tnejn b'mod espliċitu. Bidla maħsuba għall-aċċess mill-bogħod m'għandhiex tieħu l-ħila tiegħek li tamministra l-apparat li jtemmha.