eapol_test over en VPN: trenger RADIUS-utvekslingen lag 2?

Be om en laboratorie-svitsjport for å kunne kjøre eapol_test — og du har sannsynligvis misforstått verktøyet. Peer og RADIUS-klient bor begge inne i den ene binærfila, så den eneste samtalen som forlater maskinen, er selve RADIUS-utvekslingen. En rutet tunnel mellom testverten og autentiseringsserveren er hele nettverkskravet. Den fysiske 802.1X-veien er noe annet du kanskje fortsatt må teste, og det er ikke denne.

Hvorfor navnet sender folk på jakt etter en svitsjport

EAPOL er rammeformatet som en supplicant og en svitsj bruker på et LAN, og verktøyet låner navnet fordi det vokste ut av den verdenen. Det som leveres, er et testprogram som bærer peer-tilstandsmaskinen og RADIUS-klienten i én prosess, så de to halvdelene av en 802.1X-samtale møtes aldri over en ledning. Navnet er historie, ikke et topologikrav.

Folk ber fortsatt om porten fordi programmet hviler på oppførselen til en autentisator, og det høres ut som maskinvare. Limet reproduserer autentisatorens tilstandsmaskin, så en test fullføres uten noe aksesspunkt i rommet; den kompilerte binærfila kobler wpa_supplicants EAP-peer til hostapds RADIUS-klient. Fjerner du svitsjen, fjerner du EAPOL-hoppet, ikke autentiseringslogikken. Det som gjenstår, er en klient-tjener-utveksling mellom to IP-verter.

Følg én RADIUS-utveksling hopp for hopp

Følg ett forsøk, og veien er kort. Peeren inne i eapol_test produserer en EAP-Response for metoden du konfigurerte, og RADIUS-klienten i samme prosess legger den i en Access-Request og bærer nyttelasten i EAP-Message-attributter ved siden av en Message-Authenticator. Den datagrammen er adressert til serveren på UDP-port 1812 og forlater verten som enhver annen IP-pakke, og det er der tunnelen kommer inn. Serveren vurderer den mot sin policy og sine metodemoduler og svarer deretter med Access-Challenge, Access-Accept eller Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binærfila tar serveradressen, porten og den delte hemmeligheten fra kommandolinjen, og metoden og påloggingsdetaljene fra en konfigurasjonsblokk i wpa_supplicant-stil. Ingenting i det kallet avhenger av naboforhold på lag 2: -a nås ved ruting, og en VPN som ruter den, er nok. Hvis tunnelen slipper datagrammen, feiler testen nøyaktig som mot en utilgjengelig server på et flatt LAN.

Binærfila og serverpolicyen er forskjellige lister

To uavhengige lister avgjør om en metode kan passere, og å forveksle dem koster en dag. Den første listen er kompilert inn i binærfila: byggekonfigurasjonen velger hvilke EAP-metoder som finnes, så et bygg uten en metode kan ikke forhandle den, uansett hva serveren tillater. Den andre listen lever på serveren, der policyen sier hvilke av de støttede metodene denne klientklassen kan bruke. En passering krever et snitt, og ingen liste kan fylle et hull i den andre.

Sjekk den første listen før du klandrer serveren. Søk etter metodenavnet i den installerte binærfila, eller les byggekonfigurasjonen den kom fra. Hvis metoden mangler, bygg på nytt i stedet for å redigere RADIUS-policyen; hvis den finnes og utvekslingen fortsatt feiler, har problemet flyttet seg til påloggingsdetaljer, policy eller sertifikattillit.

Hva en passering fortsatt ikke dekker

En vellykket kjøring beviser én metode, for ett sett påloggingsdetaljer, mot én RADIUS-policy, over én nettverksvei. Den øver ikke aksesspunktets radio, en svitsjs EAPOL-håndtering, VLAN-tildelingen som følger etter autentisering, eller måten en VPN-konsentrator integreres med den samme serveren. De komponentene var aldri på den testede veien. Behandle resultatet som avgrenset bevis, og si hvilken grense det dekker når du rapporterer det.

Den nyttige registreringen er hva serveren og prosessen hver for seg observerte: hvilken metode som ble forhandlet, hvor utvekslingen stoppet, og hva serveren logget. Hold delte hemmeligheter og private nøkler utenfor den registreringen.

Sjekkliste før du siterer resultatet

Før noen behandler utdataene som en godkjenning, bekreft fire ting. Bygget inneholder metoden som testes, RADIUS-endepunktet og den delte hemmeligheten tilhører miljøet som testes, serverpolicyen slipper til denne testidentiteten, og nettverksveien er av samme klasse som den produksjonsklienter bruker. Navngi deretter hva kjøringen ikke rørte: aksesspunkt, svitsj, VLAN og konsentratorintegrasjon trenger hver sin linje i testplanen.

To tester med to eiere slår én tvetydig godkjenning. Kjøringen med eapol_test svarer på metode-og-server-spørsmålet; tilgangstjenesten svarer på håndhevelsesspørsmålet.