eapol_test prin VPN: are nevoie schimbul RADIUS de stratul 2?

Cereți un port de switch de laborator ca să puteți rula eapol_test — și probabil ați citit greșit instrumentul. Peer-ul și clientul RADIUS trăiesc amândouă în acel singur binar, așa că singura conversație care părăsește mașina este schimbul RADIUS în sine. Un tunel rutat între gazda de test și serverul de autentificare este întreaga cerință de rețea. Calea fizică 802.1X este altceva ce poate încă trebuie testat, și nu este aceasta.

De ce numele trimite oamenii să caute un port de switch

EAPOL este formatul de cadru pe care un supplicant și un switch îl folosesc într-o LAN, iar instrumentul împrumută numele pentru că a crescut din acea lume. Ce se livrează este un program de test care duce mașina de stări a peer-ului și clientul RADIUS într-un singur proces, așa că cele două jumătăți ale unei conversații 802.1X nu se întâlnesc niciodată pe un cablu. Numele este istorie, nu o cerință de topologie.

Oamenii cer în continuare portul pentru că programul se sprijină pe comportamentul unui autentificator, iar asta sună a hardware. Cleiul său reproduce mașina de stări a autentificatorului, așa că un test se încheie fără niciun punct de acces în cameră; binarul compilat leagă peer-ul EAP din wpa_supplicant de clientul RADIUS din hostapd. Scoaterea switch-ului scoate saltul EAPOL, nu logica de autentificare. Ce rămâne este un schimb client-server între două gazde IP.

Urmați un schimb RADIUS salt cu salt

Urmați o singură încercare și calea este scurtă. Peer-ul din interiorul eapol_test produce un EAP-Response pentru metoda pe care ați configurat-o, iar clientul RADIUS din același proces îl pune într-un Access-Request, ducând încărcătura în atribute EAP-Message lângă un Message-Authenticator. Acel datagram este adresat serverului pe portul UDP 1812 și părăsește gazda ca orice alt pachet IP, și aici intră tunelul. Serverul îl evaluează după politica și modulele sale de metode, apoi răspunde cu Access-Challenge, Access-Accept sau Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binarul ia adresa serverului, portul și secretul comun din linia de comandă, iar metoda și acreditările dintr-un bloc de configurare în stil wpa_supplicant. Nimic din acel apel nu depinde de o vecinătate de stratul 2: -a se atinge prin rutare, și este suficient un VPN care îl rutează. Dacă tunelul aruncă datagramul, testul eșuează exact ca împotriva unui server inaccesibil într-o LAN plată.

Binarul și politica serverului sunt liste diferite

Două liste independente decid dacă o metodă poate trece, iar confundarea lor costă o zi. Prima listă este compilată în binar: configurația de compilare alege ce metode EAP există, așa că o compilare fără o metodă nu o poate negocia orice ar permite serverul. A doua listă trăiește pe server, unde politica spune care dintre metodele acceptate poate fi folosită de această clasă de clienți. Trecerea cere o intersecție, și nicio listă nu poate umple o lacună în cealaltă.

Verificați acea primă listă înainte de a da vina pe server. Căutați numele metodei în binarul instalat sau citiți configurația de compilare din care provine. Dacă metoda lipsește, recompilați în loc să editați politica RADIUS; dacă este prezentă și schimbul tot eșuează, problema s-a mutat la acreditări, politică sau încrederea în certificat.

Ce nu acoperă încă o trecere

O rulare reușită dovedește o metodă, pentru un set de acreditări, împotriva unei politici RADIUS, pe o cale de rețea. Nu exersează radioul punctului de acces, tratarea EAPOL de către un switch, alocarea VLAN care urmează autentificării, nici modul în care un concentrator VPN se integrează cu același server. Acele componente nu au fost niciodată pe calea testată. Tratați rezultatul ca dovadă limitată și spuneți ce limită acoperă când îl raportați.

Înregistrarea utilă este ce au observat serverul și procesul fiecare: ce metodă a fost negociată, unde s-a oprit schimbul și ce a consemnat serverul. Țineți secretele comune și cheile private în afara acelei înregistrări.

Listă de verificare înainte de a cita rezultatul

Înainte ca cineva să trateze ieșirea ca o aprobare, confirmați patru lucruri. Compilarea include metoda testată, punctul final RADIUS și secretul comun aparțin mediului testat, politica serverului admite această identitate de test, iar calea de rețea este din aceeași clasă cu cea folosită de clienții de producție. Apoi numiți ce nu a atins rularea: punct de acces, switch, VLAN și integrarea concentratorului au nevoie fiecare de propria linie în planul de test.

Două teste cu doi responsabili bat o aprobare ambiguă. Rularea cu eapol_test răspunde la întrebarea despre metodă și server; serviciul de acces răspunde la întrebarea despre aplicare.