eapol_test kroz VPN: treba li RADIUS razmena sloj 2?

Zatražite laboratorijski port na sviču da biste pokrenuli eapol_test i verovatno ste pogrešno shvatili alat. Peer i RADIUS klijent oba žive unutar tog jednog binarnog fajla, pa je jedini razgovor koji napušta mašinu sama RADIUS razmena. Rutirani tunel između testnog hosta i servera za autentifikaciju je ceo mrežni zahtev. Fizička 802.1X putanja je druga stvar koju možda još treba da testirate, i to nije ova.

Zašto ime šalje ljude u potragu za portom na sviču

EAPOL je format okvira koji supplicant i svič koriste na LAN-u, a alat pozajmljuje ime jer je izrastao iz tog sveta. Isporučuje se testni program koji nosi peer mašinu stanja i RADIUS klijenta u jednom procesu, pa se dve polovine 802.1X razgovora nikada ne sretnu preko žice. Ime je istorija, a ne zahtev za topologijom.

Ljudi i dalje traže port jer program počiva na ponašanju autentifikatora, a to zvuči kao hardver. Njegovo lepilo reprodukuje mašinu stanja autentifikatora, pa se test završava bez pristupne tačke u prostoriji; kompilirani binarni fajl povezuje EAP peer iz wpa_supplicant sa RADIUS klijentom iz hostapd. Uklanjanje sviča uklanja EAPOL skok, a ne logiku autentifikacije. Ono što ostaje je razmena klijent-server između dva IP hosta.

Pratite jednu RADIUS razmenu skok po skok

Pratite jedan pokušaj i putanja je kratka. Peer unutar eapol_test proizvodi EAP-Response za metodu koju ste konfigurisali, a RADIUS klijent u istom procesu ga stavlja u Access-Request, noseći korisni teret u EAP-Message atributima pored Message-Authenticator. Ta datagrama je adresirana na server na UDP portu 1812 i napušta host kao i svaki drugi IP paket, i tu tunel ulazi u igru. Server je ocenjuje prema svojoj politici i svojim modulima metoda, a zatim odgovara sa Access-Challenge, Access-Accept ili Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binarni fajl uzima adresu servera, port i zajedničku tajnu iz komandne linije, a metodu i akreditive iz konfiguracionog bloka u stilu wpa_supplicant. Ništa u tom pozivu ne zavisi od susedstva sloja 2: -a se dostiže rutiranjem, i dovoljan je VPN koji ga rutira. Ako tunel ispusti datagramu, test pada isto kao protiv nedostupnog servera na ravnom LAN-u.

Binarni fajl i serverska politika su različite liste

Dve nezavisne liste odlučuju može li metoda proći, a njihovo mešanje gubi dan. Prva lista je kompilirana u binarni fajl: build konfiguracija bira koje EAP metode postoje, pa build bez neke metode ne može je pregovarati bez obzira na to šta server dopušta. Druga lista živi na serveru, gde politika kaže koje od podržanih metoda ova klasa klijenata sme koristiti. Za prolaz je potreban presek, i nijedna lista ne može popuniti prazninu u drugoj.

Proverite tu prvu listu pre nego okrivite server. Pretražite instalirani binarni fajl za imenom metode ili pročitajte build konfiguraciju iz koje je došao. Ako metoda nema, ponovo buildajte umesto da menjate RADIUS politiku; ako postoji a razmena i dalje pada, problem se preselio na akreditive, politiku ili poverenje u sertifikat.

Šta prolaz još uvek ne pokriva

Uspešno pokretanje dokazuje jednu metodu, za jedan set akreditiva, protiv jedne RADIUS politike, preko jedne mrežne putanje. Ono ne vežba radio pristupne tačke, EAPOL rukovanje sviča, dodelu VLAN-a koja sledi nakon autentifikacije, niti način na koji se VPN koncentrator integriše sa istim serverom. Te komponente nikada nisu bile na testiranoj putanji. Tretirajte rezultat kao ograničen dokaz i recite koju granicu pokriva kada ga prijavljujete.

Korisni zapis je ono što su server i proces svaki zasebno primetili: koja metoda je pregovarana, gde se razmena zaustavila i šta je server zapisao. Držite zajedničke tajne i privatne ključeve izvan tog zapisa.

Kontrolna lista pre nego citirate rezultat

Pre nego iko tretira izlaz kao odobrenje, potvrdite četiri stvari. Build uključuje metodu koja se testira, RADIUS krajnja tačka i zajednička tajna pripadaju okruženju koje se testira, serverska politika propušta ovaj testni identitet, a mrežna putanja je iste klase kao putanja koju koriste produkcijski klijenti. Zatim navedite šta pokretanje nije dotaklo: pristupna tačka, svič, VLAN i integracija koncentratora svaki trebaju svoj red u testnom planu.

Dva testa sa dva vlasnika pobeđuju jedno dvosmisleno odobrenje. eapol_test pokretanje odgovara na pitanje metode i servera; pristupna usluga odgovara na pitanje sprovođenja.