eapol_test fuq VPN: l-iskambju RADIUS jeħtieġ is-saff 2?

Itlob port tal-iswiċċ tal-laboratorju biex tkun tista' tħaddem eapol_test — u x'aktarx qrajt l-għodda ħażin. Il-peer u l-klijent RADIUS it-tnejn jgħixu ġewwa dak il-binarju wieħed, għalhekk l-unika konverżazzjoni li tħalli l-magna hija l-iskambju RADIUS innifsu. Tunnel bir-rotot bejn il-host tat-test u s-server tal-awtentikazzjoni huwa r-rekwiżit kollu tan-netwerk. Il-passaġġ fiżiku 802.1X hija ħaġa oħra li għad jista' jkollok bżonn tittestja, u din mhijiex dik.

Għaliex l-isem iwassal lin-nies ifittxu port tal-iswiċċ

EAPOL huwa l-format tal-qafas li supplicant u swiċċ jużaw fuq LAN, u l-għodda tissellef l-isem għax kibret minn dak id-dinja. Dak li jiġi fornut huwa programm tat-test li jġorr il-magna tal-istat tal-peer u l-klijent RADIUS fi proċess wieħed, għalhekk iż-żewġ nofsijiet ta' konverżazzjoni 802.1X qatt ma jiltaqgħu fuq wajer. L-isem huwa storja, mhux rekwiżit tat-topoloġija.

In-nies għadhom jitolbu l-port għax il-programm jistrieħ fuq l-imġiba tal-awtentikatur, u dan jinstema' bħal ħardwer. Il-kolla tiegħu tirriproduċi l-magna tal-istat tal-awtentikatur, għalhekk test jitlesta mingħajr ebda punt ta' aċċess fil-kamra; il-binarju kkompilat jorbot il-peer EAP ta' wpa_supplicant mal-klijent RADIUS ta' hostapd. It-tneħħija tal-iswiċċ tneħħi l-qabża EAPOL, mhux il-loġika tal-awtentikazzjoni. Dak li jibqa' huwa skambju klijent-server bejn żewġ hosts IP.

Segwi skambju RADIUS wieħed qabża b'qabża

Segwi prova waħda u l-passaġġ huwa qasir. Il-peer ġewwa eapol_test jipproduċi EAP-Response għall-metodu li kkonfigurajt, u l-klijent RADIUS fl-istess proċess ipoġġiha f'Access-Request, u jġorr it-tagħbija fl-attributi EAP-Message ħdejn Message-Authenticator. Dak id-datagramma hija indirizzata lis-server fuq il-port UDP 1812 u tħalli l-host bħal kull pakkett IP ieħor, u hawn jidħol it-tunnel. Is-server jevalwaha skont il-politika tiegħu u l-moduli tal-metodi tiegħu, imbagħad iwieġeb b'Access-Challenge, Access-Accept jew Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Il-binarju jieħu l-indirizz tas-server, il-port u s-sigriet komuni mill-linja tal-kmand, u l-metodu u l-kredenzjali minn blokka tal-konfigurazzjoni bl-istil ta' wpa_supplicant. Xejn f'dak is-sejħa mhu dipendenti fuq ġirien tas-saff 2: -a jintlaħaq bir-rotot, u VPN li jibgħatha bir-rotot huwa biżżejjed. Jekk it-tunnel jaqta' d-datagramma, it-test ifalli eżattament bħal kontra server li ma jintlaħaqx fuq LAN ċatta.

Il-binarju u l-politika tas-server huma listi differenti

Żewġ listi indipendenti jiddeċiedu jekk metodu jistax jgħaddi, u li tħallathom jiswa ġurnata. L-ewwel lista hija kkompilata fil-binarju: il-konfigurazzjoni tal-bini tagħżel liema metodi EAP jeżistu, għalhekk bini mingħajr metodu ma jistax jinnegozjah, tkun xi tkun il-permess tas-server. It-tieni lista tgħix fuq is-server, fejn il-politika tgħid liema mill-metodi appoġġjati din il-klassi ta' klijenti tista' tuża. Biex tgħaddi teħtieġ intersezzjoni, u ebda lista ma tista' timla vojt fl-oħra.

Iċċekkja dik l-ewwel lista qabel ma tagħti tort lis-server. Fittex l-isem tal-metodu fil-binarju installat, jew aqra l-konfigurazzjoni tal-bini li minnha ġie. Jekk il-metodu huwa nieqes, erġa' ibni minflok ma teditja l-politika RADIUS; jekk huwa preżenti u l-iskambju xorta jfalli, il-problema mxiet għall-kredenzjali, il-politika jew il-fiduċja fiċ-ċertifikat.

Xi ħaġa li għadha mhix koperta minn għaddija

Eżekuzzjoni b'suċċess tipprova metodu wieħed, għal sett wieħed ta' kredenzjali, kontra politika RADIUS waħda, fuq passaġġ wieħed tan-netwerk. Ma tipprattikax ir-radju tal-punt ta' aċċess, l-immaniġġjar EAPOL ta' swiċċ, l-allokazzjoni VLAN li tiġi wara l-awtentikazzjoni, u lanqas il-mod kif konsentratur VPN jintegra mal-istess server. Dawk il-komponenti qatt ma kienu fuq il-passaġġ ittestjat. Ittratta r-riżultat bħala evidenza limitata, u għid liema limitu jkopri meta tirrappurtah.

Ir-rekord utli huwa dak li s-server u l-proċess osservaw kull wieħed: liema metodu ġie nnegozjat, fejn waqaf l-iskambju, u x'irreġistra s-server. Żomm sigrieti komuni u ċwievet privati barra minn dak ir-rekord.

Lista ta' verifika qabel ma tikkwota r-riżultat

Qabel ma xi ħadd jittratta l-output bħala approvazzjoni, ikkonferma erba' affarijiet. Il-bini jinkludi l-metodu tat-test, il-punt tat-tmiem RADIUS u s-sigriet komuni jappartjenu lill-ambjent li qed jiġi ttestjat, il-politika tas-server tammetti din l-identità tat-test, u l-passaġġ tan-netwerk huwa tal-istess klassi bħall-passaġġ li jużaw il-klijenti tal-produzzjoni. Imbagħad semmi dak li ma messitx l-eżekuzzjoni: punt ta' aċċess, swiċċ, VLAN u integrazzjoni tal-konsentratur jeħtieġu kull wieħed il-linja tiegħu fil-pjan tat-test.

Żewġ testijiet b'żewġ sidien jegħlbu approvazzjoni waħda ambigwa. L-eżekuzzjoni ta' eapol_test twieġeb il-mistoqsija tal-metodu u s-server; is-servizz tal-aċċess iwieġeb il-mistoqsija tal-infurzar.