EAP gjennom ein VPN-gateway: kven avsluttar metoden

Støttebillettar skildrar ei mislukka VPN-innlogging og ein RADIUS-policy som krev ein sterkare metode som om det var same problemet, og det er det ikkje. Gatewayen godtek anten legitimasjon og sender han vidare, eller han fører ein EAP-samtale mellom klienten og autentiseringsserveren. Kva av delane som skjer avgjer om ei endring på serversida i det heile kan rette noko. Les utvekslinga før du redigerer servergruppa.

To autentiseringsvegar som ser like ut i ein logg

På den første vegen samlar VPN-gatewayen inn brukarnamn og passord og sender ein RADIUS Access-Request med eit passordattributt. Autentiseringsserveren samanliknar med lagret sitt og svarar godta eller avslå. Klienten køyrer aldri ein EAP-metode, fordi ingenting bad han om det.

På den andre vegen køyrer klienten og autentiseringsserveren EAP-metoden ende til ende, og gatewayen sender EAP-Message-attributt mellom dei. Gatewayen avsluttar framleis den ytre RADIUS-samtalen, men logikken i metoden ligg hos dei to endepunkta.

Begge vegane gir ei linje i loggen som seier at autentiseringa mislukkast. Berre den andre kan påverkast av kva EAP-metode serveren føretrekkjer, og berre den første av korleis gatewayen les passordet. Å handsame dei som utskiftbare er korleis team brukar ein dag på å endre servergrupper for ein klient som aldri ville snakke PEAP.

Kvar metoden faktisk køyrer

RFC 3579 definerer gjennomføringsordninga: NAS-en ber EAP-pakkar i RADIUS-attributt og treng ikkje metodespesifikk kode for kvar EAP-type. Difor kan ein gateway støtte PEAP og EAP-TLS utan å implementere nokon av dei.

Ein gateway som sender inn eit passord, ber ikkje PEAP, sjølv om backend ville godta PEAP frå ein annan klient. Å slå på PEAP i serverpolicyen legg ikkje til ein metode for ein klient som aldri har tilbode ein.

PPP-autentiseringsinnstillingar høyrer til PPP-tenesta. Dei omkonfigurerer ikkje stille kvar IPsec- eller eldre XAuth-veg som brukar same AAA-server, så ei endring som verkar for ein tilgangstype kan la den andre vere urørt.

Kva NAS-en må støtte

Gjennomføringa flyttar kravet frå metodekode til bærarstøtte. Gatewayen må kunne bere EAP over VPN-protokollen sin, og RADIUS-klienten på han må kunne sende og ta imot EAP-Message-attributt i dei aktuelle storleikane.

For IKEv2 er EAP ein del av ein definert autentiseringsflyt, og identitets- og tillitskontrollane til serveren kjem frå den flyten. Ein PEAP-etikett lånt frå ein 802.1X-utrulling blir ikkje overført automatisk, fordi forhandlinga rundt han er annleis.

Klientsida har også krav. Ho må vere konfigurert for metoden, stole på servercertifikatet metoden presenterer, og ha legitimasjon metoden kan bruke. Ein sertifikatbasert metode utan klientcertifikat feilar før RADIUS ser noko, og det er eit klargjeringsproblem og ikkje eit serverpolicyproblem.

Les eitt forsøk før du endrar policy

Tak opp eitt enkelt godkjent forsøk ved gatewayen og ved autentiseringsserveren. Sjå etter EAP-Message-attributt i RADIUS-førespurnaden. At dei finst, fortel at gjennomføringsvegen er i bruk; at dei manglar, peikar på ei utveksling av legitimasjon.

På ein Linux-gateway viser eit opptak på RADIUS-porten kva attributt som ligg på leidningen:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Samanlikn så avvisingpunktet. Ein feil ved gatewayen før noka RADIUS-pakke betyr at klienten og gatewayen var usamde om metoden. Ei RADIUS-avvising med EAP-attributt betyr at endepunkta køyrde metoden, og at eitt av dei avviste resultatet.

Planlegg migreringa som éi endring frå ende til ende

Å byte metode betyr å endre klientkonfigurasjonen, bærarstøtta til gatewayen, metodepolicyen til serveren og legitimasjonslageret saman. Gjer det i den rekkjefølgja og hald ein fungerande veg til den nye er prova. Ei endring berre på serversida er ei gissing, og ho øydelegg vanlegvis klientane som verka. Førebu endringa på éin testidentitet før du rører gruppa.

Noter kombinasjonen som verkar: VPN-protokoll, EAP-bærar, peer-metode, servermetode, type legitimasjon og serveridentitetskontroll.

Hald administrativ AAA-innlogging skild frå VPN-autentisering med mindre oppgåva uttrykkeleg omfattar begge. Ei endring berekna på fjern tilgang bør ikkje fjerne høvet ditt til å administrere eininga som avsluttar henne.