EAP przez bramę VPN: kto kończy metodę

Zgłoszenia do pomocy technicznej opisują nieudane logowanie VPN i politykę RADIUS wymagającą silniejszej metody, jakby to był ten sam problem, a nim nie jest. Brama albo przyjmuje poświadczenia i przekazuje je dalej, albo prowadzi rozmowę EAP między klientem a serwerem uwierzytelniania. To, co z tego zachodzi, decyduje, czy zmiana po stronie serwera może w ogóle coś naprawić. Przeczytaj wymianę, zanim edytujesz grupę serwerów.

Dwie ścieżki uwierzytelniania, które w logu wyglądają tak samo

Na pierwszej ścieżce brama VPN zbiera nazwę użytkownika i hasło i wysyła RADIUS Access-Request z atrybutem hasła. Serwer uwierzytelniania porównuje je ze swoim magazynem i odpowiada akceptacją lub odrzuceniem. Klient nigdy nie uruchamia metody EAP, bo nic go o to nie poprosiło.

Na drugiej ścieżce klient i serwer uwierzytelniania wykonują metodę EAP od początku do końca, a brama przekazuje między nimi atrybuty EAP-Message. Brama nadal kończy zewnętrzną rozmowę RADIUS, ale logika metody żyje na obu końcach.

Obie ścieżki dają w logu wiersz mówiący, że uwierzytelnianie nie powiodło się. Tylko na drugą może wpływać metoda EAP preferowana przez serwer, a tylko na pierwszą to, jak brama czyta hasło. Traktowanie ich jako wymiennych jest przyczyną, dla której zespoły spędzają dzień na zmianie grup serwerów dla klienta, który nigdy nie zamierzał mówić PEAP.

Gdzie metoda faktycznie działa

RFC 3579 definiuje układ przekazywania: NAS niesie pakiety EAP w atrybutach RADIUS i nie potrzebuje kodu specyficznego dla każdego typu EAP. Dlatego brama może obsługiwać PEAP i EAP-TLS bez implementowania żadnego z nich.

Brama, która przesyła hasło, nie niesie PEAP, nawet gdyby backend przyjął PEAP od innego klienta. Włączenie PEAP w polityce serwera nie dodaje metody klientowi, który nigdy jej nie zaproponował.

Ustawienia uwierzytelniania PPP należą do usługi PPP. Nie rekonfigurują po cichu każdej ścieżki IPsec ani starszego XAuth korzystającej z tego samego serwera AAA, więc zmiana działająca dla jednego typu dostępu może pozostawić drugi nietknięty.

Co musi obsługiwać NAS

Przekazywanie przenosi wymaganie z kodu metody na obsługę nośnika. Brama musi umieć nieść EAP przez swój protokół VPN, a klient RADIUS na niej musi umieć wysyłać i odbierać atrybuty EAP-Message o odpowiednich rozmiarach.

W IKEv2 EAP jest częścią zdefiniowanego przepływu uwierzytelniania, a kontrole tożsamości i zaufania serwera pochodzą z tego przepływu. Etykieta PEAP zapożyczona z wdrożenia 802.1X nie przenosi się automatycznie, bo negocjacje wokół niej są inne.

Strona klienta też ma wymagania. Musi być skonfigurowana dla metody, ufać certyfikatowi serwera przedstawianemu przez metodę i mieć poświadczenia, których metoda może użyć. Metoda oparta na certyfikacie bez certyfikatu klienta zawodzi, zanim RADIUS cokolwiek zobaczy, i jest to problem przygotowania, a nie polityki serwera.

Przeczytaj jedną próbę przed zmianą polityki

Przechwyć jedną zatwierdzoną próbę na bramie i na serwerze uwierzytelniania. Szukaj atrybutów EAP-Message w żądaniu RADIUS. Ich obecność mówi, że używana jest ścieżka przekazywania; ich brak wskazuje na wymianę poświadczeń.

Na bramie Linux przechwycenie na porcie RADIUS pokazuje, które atrybuty są na łączu:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Następnie porównaj punkt odrzucenia. Błąd na bramie przed jakimkolwiek pakietem RADIUS oznacza, że klient i brama nie zgadzali się co do metody. Odrzucenie RADIUS z atrybutami EAP oznacza, że końce wykonały metodę i jeden z nich odrzucił wynik.

Zaplanuj migrację jako jedną zmianę od początku do końca

Zmiana metody oznacza zmianę konfiguracji klienta, obsługi nośnika na bramie, polityki metody na serwerze i magazynu poświadczeń naraz. Zrób to w tej kolejności i utrzymuj działającą ścieżkę, dopóki nowa nie zostanie udowodniona. Zmiana tylko po stronie serwera jest domysłem i zwykle psuje klientów, którzy działali. Przygotuj zmianę na jednej tożsamości testowej, zanim dotkniesz grupy.

Zapisz działającą kombinację: protokół VPN, nośnik EAP, metoda partnera, metoda serwera, typ poświadczeń i kontrola tożsamości serwera.

Trzymaj administracyjne logowanie AAA osobno od uwierzytelniania VPN, chyba że zadanie wyraźnie obejmuje oba. Zmiana przeznaczona dla dostępu zdalnego nie powinna odbierać możliwości zarządzania urządzeniem, które ją kończy.