eapol_test over ein VPN: treng RADIUS-utvekslinga lag 2?

Be om ein laboratorie-brytarport for å kunne køyre eapol_test — og du har truleg misforstått verktøyet. Peeren og RADIUS-klienten bur båe inne i den eine binærfilja, så den einaste samtalen som forlèt maskina, er sjølve RADIUS-utvekslinga. Ein ruta tunnel mellom testverten og autentiseringsserveren er heile nettverkskravet. Den fysiske 802.1X-vegen er noko anna du kanskje framleis må teste, og det er ikkje denne.

Kvifor namnet sender folk på jakt etter ein brytarport

EAPOL er rammeformatet som ein supplicant og ein brytar brukar på eit LAN, og verktøyet låner namnet fordi det voks ut av den verda. Det som vert levert, er eit testprogram som ber peer-tilstandsmaskina og RADIUS-klienten i éin prosess, så dei to helftene av ein 802.1X-samtale møtest aldri over ein leidning. Namnet er historie, ikkje eit topologikrav.

Folk ber framleis om porten fordi programmet kviler på åtferda til ein autentikator, og det høyrest ut som maskinvare. Limet reproduserer tilstandsmaskina til autentikatoren, så ein test vert fullført utan noko aksesspunkt i rommet; den kompilerte binærfilja koplar EAP-peeren til wpa_supplicant til RADIUS-klienten til hostapd. Fjernar du brytaren, fjernar du EAPOL-hoppet, ikkje autentiseringslogikken. Det som står att, er ei klient-tenar-utveksling mellom to IP-vertar.

Følg éi RADIUS-utveksling hopp for hopp

Følg eitt forsøk, og vegen er kort. Peeren inne i eapol_test produserer ein EAP-Response for metoden du konfigurerte, og RADIUS-klienten i same prosess legg han i ein Access-Request og ber nyttelasta i EAP-Message-attributtar ved sida av ein Message-Authenticator. Den datagrammen er adressert til serveren på UDP-port 1812 og forlèt verten som kvar annan IP-pakke, og det er der tunnelen kjem inn. Serveren vurderer han mot policyen sin og metodemodulane sine og svarar deretter med Access-Challenge, Access-Accept eller Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binærfilja tek serveradressa, porten og den delte løyndomen frå kommandolinja, og metoden og påloggingsdetaljane frå ein konfigurasjonsblokk i wpa_supplicant-stil. Ingenting i det kallet er avhengig av naboskap på lag 2: -a vert nådd ved ruting, og ein VPN som ruter han, er nok. Viss tunnelen slepp datagrammen, feilar testen nøyaktig som mot ein utilgjengeleg server på eit flatt LAN.

Binærfilja og serverpolicyen er ulike lister

To uavhengige lister avgjer om ein metode kan passere, og å forveksle dei kostar ein dag. Den fyrste lista er kompilert inn i binærfilja: byggjekonfigurasjonen vel kva EAP-metodar som finst, så eit bygg utan ein metode kan ikkje forhandle han, uansett kva serveren tillèt. Den andre lista lever på serveren, der policyen seier kva av dei støtta metodane denne klientklassen kan bruke. Ein passering krev eit snitt, og inga liste kan fylle eit hol i den andre.

Sjekk den fyrste lista før du klandrar serveren. Søk etter metodenamnet i den installerte binærfilja, eller les byggjekonfigurasjonen han kom frå. Viss metoden manglar, bygg på nytt i staden for å redigere RADIUS-policyen; viss han finst og utvekslinga framleis feilar, har problemet flytta seg til påloggingsdetaljar, policy eller sertifikattillit.

Kva ein passering framleis ikkje dekkjer

Ein vellukka køyring beviser éin metode, for eitt sett påloggingsdetaljar, mot éin RADIUS-policy, over éin nettverksveg. Ho øver ikkje radioen til aksesspunktet, EAPOL-handteringa til ein brytar, VLAN-tildelinga som følgjer etter autentisering, eller måten ein VPN-konsentrator integrerer med den same serveren. Dei komponentane var aldri på den testa vegen. Handsame resultatet som avgrensa prov, og sei kva grense det dekkjer når du rapporterer det.

Den nyttige registreringa er kva serveren og prosessen kvar for seg observerte: kva metode som vart forhandla, kvar utvekslinga stoppa, og kva serveren logga. Hald delte løyndomar og private nøklar utanfor den registreringa.

Sjekkliste før du siterer resultatet

Før nokon handsamar utdataa som ei godkjenning, stadfest fire ting. Bygget inneheld metoden som vert testa, RADIUS-endepunktet og den delte løyndomen høyrer til miljøet som vert testa, serverpolicyen slepp til denne testidentiteten, og nettverksvegen er av same klasse som vegen produksjonsklientar brukar. Namngje deretter kva køyringa ikkje rørte: aksesspunkt, brytar, VLAN og konsentratorintegrasjon treng kvar si line i testplanen.

To testar med to eigarar slår éi tvitydig godkjenning. Køyringa med eapol_test svarar på metode-og-server-spørsmålet; tilgangstenesta svarar på handhevingsspørsmålet.