eapol_test przez VPN: czy wymiana RADIUS potrzebuje warstwy 2?

Poproś o laboratoryjny port przełącznika, aby uruchomić eapol_test — i prawdopodobnie źle odczytałeś narzędzie. Peer i klient RADIUS mieszkają oba w tym jednym pliku binarnym, więc jedyną rozmową opuszczającą maszynę jest sama wymiana RADIUS. Trasowany tunel między hostem testowym a serwerem uwierzytelniania to całe wymaganie sieciowe. Fizyczna ścieżka 802.1X to coś innego, co być może wciąż musisz przetestować, i nie jest to ta.

Dlaczego nazwa wysyła ludzi na poszukiwanie portu przełącznika

EAPOL to format ramki, którego supplicant i przełącznik używają w sieci LAN, a narzędzie pożycza nazwę, bo wyrosło z tego świata. Dostarczany jest program testowy, który przenosi maszynę stanów peera i klienta RADIUS w jednym procesie, więc dwie połowy rozmowy 802.1X nigdy nie spotykają się na kablu. Nazwa to historia, nie wymóg topologii.

Ludzie wciąż proszą o port, bo program opiera się na zachowaniu autentykatora, a to brzmi jak sprzęt. Jego klej odtwarza maszynę stanów autentykatora, więc test kończy się bez żadnego punktu dostępowego w pomieszczeniu; skompilowany plik binarny łączy peera EAP z wpa_supplicant z klientem RADIUS z hostapd. Usunięcie przełącznika usuwa skok EAPOL, a nie logikę uwierzytelniania. Zostaje wymiana klient-serwer między dwoma hostami IP.

Śledź jedną wymianę RADIUS skok po skoku

Śledź jedną próbę, a ścieżka jest krótka. Peer wewnątrz eapol_test tworzy EAP-Response dla skonfigurowanej metody, a klient RADIUS w tym samym procesie wkłada ją do Access-Request, niosąc ładunek w atrybutach EAP-Message obok Message-Authenticator. Ten datagram jest adresowany do serwera na porcie UDP 1812 i opuszcza host jak każdy inny pakiet IP, i tu wkracza tunel. Serwer ocenia go według swojej polityki i modułów metod, a następnie odpowiada Access-Challenge, Access-Accept lub Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Plik binarny bierze adres serwera, port i wspólny sekret z wiersza poleceń, a metodę i poświadczenia z bloku konfiguracji w stylu wpa_supplicant. Nic w tym wywołaniu nie zależy od sąsiedztwa warstwy 2: -a osiąga się przez trasowanie, a wystarczy VPN, który ją trasuje. Jeśli tunel zgubi datagram, test zawodzi dokładnie tak jak wobec nieosiągalnego serwera w płaskiej sieci LAN.

Plik binarny i polityka serwera to różne listy

Dwie niezależne listy decydują, czy metoda przejdzie, a ich pomieszanie kosztuje dzień. Pierwsza lista jest skompilowana do pliku binarnego: konfiguracja kompilacji wybiera, które metody EAP istnieją, więc kompilacja bez metody nie może jej wynegocjować, cokolwiek pozwoli serwer. Druga lista żyje na serwerze, gdzie polityka mówi, których z obsługiwanych metod ta klasa klientów może użyć. Do przejścia potrzebny jest przekrój, a żadna lista nie wypełni luki w drugiej.

Sprawdź tę pierwszą listę, zanim obwinisz serwer. Poszukaj nazwy metody w zainstalowanym pliku binarnym albo przeczytaj konfigurację kompilacji, z której pochodzi. Jeśli metody nie ma, przebuduj zamiast edytować politykę RADIUS; jeśli jest, a wymiana nadal zawodzi, problem przeniósł się na poświadczenia, politykę lub zaufanie do certyfikatu.

Czego przejście wciąż nie obejmuje

Udane uruchomienie dowodzi jednej metody, dla jednego zestawu poświadczeń, wobec jednej polityki RADIUS, po jednej ścieżce sieciowej. Nie ćwiczy radia punktu dostępowego, obsługi EAPOL przez przełącznik, przypisania VLAN po uwierzytelnieniu ani sposobu, w jaki koncentrator VPN integruje się z tym samym serwerem. Te elementy nigdy nie były na testowanej ścieżce. Traktuj wynik jako ograniczony dowód i powiedz, którą granicę obejmuje, gdy go raportujesz.

Użyteczny zapis to to, co serwer i proces zaobserwowały każde z osobna: która metoda została wynegocjowana, gdzie wymiana się zatrzymała i co serwer zapisał. Trzymaj wspólne sekrety i klucze prywatne poza tym zapisem.

Lista kontrolna przed cytowaniem wyniku

Zanim ktokolwiek potraktuje wyjście jako zatwierdzenie, potwierdź cztery rzeczy. Kompilacja zawiera testowaną metodę, punkt końcowy RADIUS i wspólny sekret należą do testowanego środowiska, polityka serwera dopuszcza tę tożsamość testową, a ścieżka sieciowa jest tej samej klasy co ścieżka używana przez klientów produkcyjnych. Potem nazwij to, czego uruchomienie nie dotknęło: punkt dostępowy, przełącznik, VLAN i integracja koncentratora potrzebują każde własnej linii w planie testów.

Dwa testy z dwoma właścicielami biją jedno niejednoznaczne zatwierdzenie. Uruchomienie eapol_test odpowiada na pytanie o metodę i serwer; usługa dostępu odpowiada na pytanie o egzekwowanie.