Hvorfor RADIUS ser en IP-adresse i stedet for VPN-brukernavnet

strongSwan kan legge IKE-identiteten i RADIUS User-Name før noen EAP-utveksling. Bestem hvem som ber om kontoidentiteten, og korreler deretter ett forsøk.

En Windows IKEv2-klient kobler til, og RADIUS-forespørselen kommer med en adresse der kontonavnet skulle stå. Ingenting har feilet ennå, og det er nettopp det forvirrende: gatewayen rapporterer identiteten klienten presenterte på IKE-laget. Brukernavnet backend-en din vil ha, kan komme fra en separat EAP-utveksling som ennå ikke har skjedd. Bestem hvem som spør etter det før du endrer kontoen.

To identiteter reiser i én tilkobling

To navn kan forekomme i én tilkobling. IKE-identiteten identifiserer motparten under tunneloppsettet, og eap-radius-pluginen kopierer den først til RADIUS User-Name. EAP-identiteten er en annen verdi, brukt til brukerautentisering, og den sendes kanskje aldri hvis ingen spør etter den.

Derfor kan RADIUS-loggen vise en adresse mens kontoen finnes og passordet er riktig. Backend-en blir spurt om feil lag. RADIUS-attributtet er bare transporten for navnet som ble valgt.

Be gatewayen om å be om en EAP-identitet

Ett støttet oppsett lar gatewayen be om EAP-identiteten før autentiseringen overleveres til RADIUS. I seksjonen for fjernautentisering i tilkoblingen setter du metoden til eap-radius og ber uttrykkelig om EAP-identiteten. Fragmentet nedenfor hører hjemme i en eksisterende tilkoblingsblokk, ikke i en egen fil. Bekreft tilkoblingen og konfigurasjonsbackend-en før du kopierer syntaks fra en annen utrulling.

remote {
    auth = eap-radius
    eap_id = %any
}

Med det mottar backend-en identiteten klienten oppgir i EAP-utvekslingen i stedet for IKE-adressen. Ingenting annet ved tilkoblingen endres.

Eller la RADIUS starte EAP-utvekslingen

Det andre oppsettet legger det første trekket på RADIUS-siden. Pluginen kan sende en EAP-Start-indikasjon i stedet for å vente på en innledende identitetsrespons, noe som lar serveren styre utvekslingen. Det er konfigurasjon på plugin-nivå, så det påvirker hver tilkobling som bruker pluginen.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Velg ett oppsett sammen med RADIUS-operatøren i stedet for å aktivere begge og håpe. De beskriver ulike arbeidsflyter, og en server som forventer å starte, håndterer ikke nødvendigvis en gateway som begynner samtalen. Plugin-dokumentasjonen beskriver begge, inkludert hvilken identitet hvert trinn bærer.

Følg ett forsøk gjennom begge loggene

Korreler ett enkelt forsøk på tvers av begge loggene. Se på IKE-identiteten, deretter om det skjer en EAP-Identity-utveksling, og deretter hvilket navn autentiseringstrinnet mottar. En backend som avviser adressen før EAP-utvekslingen, kan stoppe prosessen før den tiltenkte identiteten din noen gang ses.

journalctl -u strongswan -f

Behold det nøyaktige brukernavnformatet identitetssystemet forventer, inkludert domeneprefikset. Finn aldri opp en konto fra en adresselignende verdi, og slå aldri av autentisering for å oppfylle en policyregel. En EAP-identitet er et påstått navn, og metoden må fortsatt bevise det. Skriv det resulterende navnet i testprotokollen slik at neste forsøk starter fra en kjent tilstand.

Hvis den korrigerte flyten når riktig konto og fortsatt avvises, er det neste beviset EAP-metoden og backend-policyen, ikke identiteten. Å gjenta en passordtilbakestilling kan ikke reparere en verdi som ble valgt på et tidligere protokollag.

Relaterte artikler