Għaliex RADIUS jara indirizz IP minflok l-isem tal-utent VPN

strongSwan jista’ jpoġġi l-identità IKE f’RADIUS User-Name qabel kwalunkwe skambju EAP. Iddeċiedi min jitlob l-identità tal-kont, imbagħad ikkorrelata tentattiv wieħed.

Klijent Windows IKEv2 jgħaqqad, u t-talba RADIUS tasal b’indirizz fejn suppost ikun hemm l-isem tal-kont. Għadu ma falla xejn, u dan huwa eżattament il-parti konfuża: il-gateway jirrapporta l-identità li l-klijent ippreżenta fil-livell IKE. L-isem tal-utent li rridu l-backend tiegħek jista’ jiġi minn skambju EAP separat li għadu ma seħħx. Iddeċiedi min jitlobu qabel ma tibdel il-kont.

Żewġ identitajiet jivvjaġġaw f’konnessjoni waħda

Żewġ ismijiet jistgħu jidhru f’konnessjoni waħda. L-identità IKE tidentifika lill-pari waqt is-setup tal-mina, u l-plugin eap-radius inizjalment tikkupjaha f’RADIUS User-Name. L-identità EAP hija valur differenti, użat għall-awtentikazzjoni tal-utent, u forsi qatt ma tintbagħat jekk ħadd ma jitlobha.

Għalhekk il-log RADIUS jista’ juri indirizz waqt li l-kont jeżisti u l-password hija korretta. Il-backend qed jiġi mistoqsi dwar il-livell ħażin. L-attribut RADIUS huwa biss it-trasport għall-isem li ntgħażel.

Itlob lill-gateway biex jitlob identità EAP

Arranġament appoġġjat wieħed iħalli lill-gateway jitlob l-identità EAP qabel ma jagħti l-awtentikazzjoni lil RADIUS. Fis-sezzjoni tal-awtentikazzjoni mill-bogħod tal-konnessjoni, issettja l-metodu għal eap-radius u itlob l-identità EAP b’mod espliċitu. Il-framment hawn taħt jappartjeni ġewwa blokka tal-konnessjoni eżistenti, mhux f’fajl tiegħu stess. Ikkonferma l-konnessjoni u l-backend tal-konfigurazzjoni qabel ma tikkopja s-sintassi minn skjerament ieħor.

remote {
    auth = eap-radius
    eap_id = %any
}

B’dan, il-backend jirċievi l-identità li l-klijent jipprovdi fl-iskambju EAP minflok l-indirizz IKE. Xejn ieħor dwar il-konnessjoni ma jinbidel.

Jew ħalli lil RADIUS jibda l-iskambju EAP

L-arranġament l-ieħor iqiegħed l-ewwel mossa fuq in-naħa ta’ RADIUS. Il-plugin jista’ jibgħat indikazzjoni EAP-Start minflok ma jistenna risposta inizjali tal-identità, li tħalli lis-server imexxi l-iskambju. Dik hija konfigurazzjoni fil-livell tal-plugin, għalhekk taffettwa kull konnessjoni li tuża l-plugin.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Agħżel arranġament wieħed mal-operatur ta’ RADIUS minflok ma tattiva t-tnejn u tittama. Huma jiddeskrivu flussi tax-xogħol differenti, u server li jistenna li jibda mhux bilfors se jimmaniġġja gateway li jibda l-konversazzjoni. Id-dokumentazzjoni tal-plugin tiddeskrivi t-tnejn, inkluż liema identità ġġorr kull pass.

Segwi tentattiv wieħed fiż-żewġ logs

Ikkorrelata tentattiv wieħed fiż-żewġ logs. Ħares lejn l-identità IKE, imbagħad jekk iseħħx skambju EAP-Identity, imbagħad liema isem jirċievi l-pass tal-awtentikazzjoni. Backend li jirrifjuta l-indirizz qabel l-iskambju EAP jista’ jwaqqaf il-proċess qabel ma l-identità maħsuba tiegħek qatt tinqara.

journalctl -u strongswan -f

Żomm il-format eżatt tal-isem tal-utent li jistenna s-sistema tal-identità, inkluż il-prefiss tad-dominju. Qatt tivvinta kont minn valur b’forma ta’ indirizz, u qatt tintefi l-awtentikazzjoni biex tissodisfa regola ta’ politika. L-identità EAP hija isem iddikjarat, u l-metodu xorta waħda jrid jippruvah. Ikteb l-isem li jirriżulta fir-rekord tat-test biex it-tentattiv li jmiss jibda minn stat magħruf.

Jekk il-fluss ikkoreġut jilħaq il-kont it-tajjeb u xorta jiġi miċħud, l-evidenza li jmiss hija l-metodu EAP u l-politika tal-backend, mhux l-identità. L-irrepetizzjoni ta’ reset tal-password ma tistax tissewwi valur magħżul f’livell ta’ protokoll preċedenti.

Artikli relatati