EAP czy certyfikaty klienta? Rozstrzyganie uwierzytelniania IKEv2

Twoja brama może dowieść własnej tożsamości certyfikatem, a twojej przez EAP, i ta kombinacja jest zwyczajna, a nie sprzeczna. Oba mechanizmy odpowiadają na różne pytania: czy ten punkt końcowy jest tym, którego oczekuję, i czy ten użytkownik lub urządzenie jest dozwolone. Widok EAP w profilu nie wyłącza walidacji serwera. To czytanie profilu jako jednego ustawienia skłania ludzi do resetowania niewłaściwej danej uwierzytelniającej.

Ustal, które roszczenie zawiodło, zanim dotkniesz któregokolwiek z dwóch obiektów. Etap awarii powie ci to, jeśli czytasz po kolei.

Dwie dane uwierzytelniające, dwa roszczenia

Certyfikat serwera wiąże nazwę z kluczem, a klient sprawdza to wiązanie wobec swojego magazynu zaufania. Certyfikat klienta wiąże tożsamość z kluczem, a brama sprawdza, czy przedstawiony certyfikat łańcuchowo prowadzi do czegoś, czemu ufa. EAP przenosi wymianę uwierzytelniającą, której treść zależy od wybranej metody. To trzy struktury o różnych okresach życia, różnych właścicielach i różnych trybach awarii.

Fraza hasłowa odblokowująca klucz prywatny nie jest hasłem konta, nawet gdy oba monity pojawiają się w odstępie sekund. Jedna jest lokalna w magazynie kluczy urządzenia, a drugą waliduje serwer uwierzytelniania za bramą.

EAP to pojemnik, a nie metoda

EAP to szkielet: brama i klient negocjują metodę, a metoda decyduje, czy uczestniczy hasło, token, tunelowana wymiana wewnętrzna czy certyfikat, jak przedstawia to dokumentacja strongSwan dotycząca IKEv2. Dlatego EAP-TLS po stronie klienta wcale nie przypomina EAP-MSCHAPv2, choć oba pojawiają się w menu jako EAP. Profil, który wymienia tylko EAP, nie powiedział, o co zapyta się użytkownika.

Czytaj metodę i backend razem. Backend określa format konta, zachowanie przy blokadzie i to, co naprawdę zmienia reset hasła, i nic z tego nie jest widoczne w profilu klienta.

Wdrożenie mieszane jest normalne

Certyfikat serwera plus EAP dla użytkownika to kształt, który wdraża większość bram dostępu zdalnego, ponieważ daje klientowi weryfikowalny punkt końcowy, a operatorowi tożsamość każdego użytkownika w centralnym magazynie kont. Istnieją też wdrożenia z certyfikatami klienta, zwykle tam, gdzie tożsamość urządzenia jest ważniejsza niż hasło. Oba są uzasadnione, a błędem jest zakładać, że to, co widziałeś w zeszłym tygodniu, jest tym, co masz przed sobą.

Poproś operatora o udokumentowaną metodę i format konta, zamiast wnioskować je z nazw pól w kliencie.

Decyzja na podstawie etapu awarii

Uporządkuj obserwacje. Błąd zaufania przed jakimkolwiek monitem użytkownika to problem certyfikatu serwera i żadne hasło go nie naprawi. Monit, po którym następuje odrzucenie, to problem uwierzytelniania użytkownika, a podejrzanymi są metoda EAP i backend. Udane uwierzytelnienie, po którym następuje awaria child-SA, nie jest żadnym z nich.

Znaczenie mają jeszcze dwie różnice. Klient odrzucający certyfikat serwera zwykle zgłasza niezgodność nazwy lub nieznany organ, co jest kwestią magazynu zaufania. Brama odrzucająca użytkownika często zapisuje metodę EAP i kategorię przyczyny, co jest kwestią konta lub polityki.

Eksploatacja obu modeli

Przy certyfikatach praca to wydawanie, odnawianie, unieważnianie i usuwanie zgubionych urządzeń, i odbywa się według harmonogramu, który kontrolujesz. Przy EAP praca to cykl życia konta, wsparcie metod na każdej platformie klienta i dowolny drugi czynnik wymagany przez backend. Żaden model nie jest abstrakcyjnie tańszy; obciążają różne zespoły. Zapisz, którego twój wdrożenie naprawdę używa, bo skrypty wsparcia różnią się bardziej niż konfiguracja.

Trzymaj je osobno w notatkach. Wygaśnięcie certyfikatu daje awarię w określonej dacie, blokada konta daje awarię po zmianie hasła, a niezgodność metody daje awarię tylko na jednej platformie.

Po zaakceptowaniu tożsamości

Uwierzytelnianie to jedna brama. Podrzędne stowarzyszenie bezpieczeństwa, selektory ruchu, DNS i własne uprawnienia aplikacji to późniejsze bramy, a każda zawodzi na własnych warunkach. Zaakceptowana tożsamość, która do niczego nie dociera, nie jest problemem uwierzytelniania.

Zapisz metodę, użyte konto lub certyfikat i etap, który zawiódł. Ta notatka zamienia następny incydent w wyszukiwanie, a nie w eksperyment.