EAP alebo klientske certifikáty? Rozhodnutie o autentizácii IKEv2

Vaša brána môže preukázať vlastnú identitu certifikátom a tú vašu prostredníctvom EAP, a táto kombinácia je bežná, nie protirečivá. Oba mechanizmy odpovedajú na rôzne otázky: je tento koncový bod ten, ktorý očakávam, a je tento používateľ alebo zariadenie povolené. Keď v profile vidíte EAP, nevypína to overovanie servera. Práve čítanie profilu ako jediného nastavenia vedie ľudí k resetovaniu nesprávneho údaja.

Určte, ktorý nárok zlyhal, skôr než sa dotknete ktoréhokoľvek z dvoch objektov. Fáza zlyhania vám to povie, ak ju čítate po poriadku.

Dve prihlasovacie údaje, dva nároky

Serverový certifikát spája meno s kľúčom a klient overuje toto spojenie voči svojmu úložisku dôvery. Klientsky certifikát spája identitu s kľúčom a brána overuje, či predložený certifikát reťazí k niečomu, čomu dôveruje. EAP nesie autentizačnú výmenu, ktorej obsah závisí od zvolenej metódy. To sú tri štruktúry s rôznou životnosťou, rôznymi vlastníkmi a rôznymi režimami zlyhania.

Heslová fráza, ktorá odomyká súkromný kľúč, nie je heslom účtu, aj keď sa obe výzvy objavia v rozmedzí sekúnd. Jedna je lokálna v úložisku kľúčov zariadenia a druhú overuje autentizačný server za bránou.

EAP je kontajner, nie metóda

EAP je rámec: brána a klient vyjednajú metódu a metóda rozhoduje, či ide o heslo, token, tunelovanú vnútornú výmenu alebo certifikát, ako vysvetľuje dokumentácia strongSwan k IKEv2. Preto EAP-TLS na strane klienta nevyzerá vôbec ako EAP-MSCHAPv2, hoci sa oboje v ponuke zobrazuje ako EAP. Profil, ktorý uvádza iba EAP, vám nepovedal, na čo sa bude používateľ pýtať.

Čítajte metódu a backend spolu. Backend určuje formát účtu, správanie pri uzamknutí a to, čo reset hesla skutočne zmení, a nič z toho nie je v klientskom profile vidieť.

Zmiešané nasadenie je normálne

Serverový certifikát plus EAP pre používateľa je podoba, ktorú nasadzuje väčšina brán pre vzdialený prístup, pretože dáva klientovi overiteľný koncový bod a operátorovi identitu každého používateľa v centrálnom úložisku účtov. Existujú aj nasadenia s klientskymi certifikátmi, zvyčajne tam, kde je identita zariadenia dôležitejšia ako heslo. Obe sú legitímne a chyba je predpokladať, že to, čo ste videli minulý týždeň, je to, čo máte pred sebou.

Pýtajte sa operátora na dokumentovanú metódu a formát účtu, namiesto toho, aby ste ich odvodzovali z názvov polí v klientovi.

Rozhodnutie podľa fázy zlyhania

Zoraďte pozorovania. Chyba dôvery pred akoukoľvek výzvou používateľovi je problém serverového certifikátu a žiadne heslo to nespraví. Výzva, po ktorej nasleduje odmietnutie, je problém autentizácie používateľa, pričom podozrivými sú metóda EAP a backend. Úspešná autentizácia, po ktorej nasleduje zlyhanie child-SA, nie je ani jedno.

Dôležité sú ešte dva rozdiely. Klient, ktorý odmietne serverový certifikát, zvyčajne hlási nezhodu mena alebo neznámu autoritu, čo je otázka úložiska dôvery. Brána, ktorá odmietne používateľa, často zaznamená metódu EAP a kategóriu dôvodu, čo je otázka účtu alebo zásad.

Prevádzka oboch modelov

Pri certifikátoch je prácou vydávanie, obnova, odvolanie a odstraňovanie stratených zariadení a deje sa podľa plánu, ktorý ovládate. Pri EAP je prácou životný cyklus účtu, podpora metód na každej klientskej platforme a akýkoľvek druhý faktor, ktorý backend vyžaduje. Ani jeden model nie je abstraktne lacnejší; zaťažujú rôzne tímy. Zapíšte si, ktorý váš deployment skutočne používa, pretože podporné skripty sa líšia viac ako konfigurácia.

Držte ich vo svojich poznámkach oddelene. Vypršanie certifikátu vytvára zlyhanie k určitému dátumu, uzamknutie účtu vytvára zlyhanie po zmene hesla a nezhoda metódy vytvára zlyhanie len na jednej platforme.

Po tom, ako je identita prijatá

Autentizácia sú jedny dvere. Podriadená bezpečnostná asociácia, selektory prevádzky, DNS a vlastné oprávnenia aplikácie sú neskoršie dvere a každé zlyháva podľa svojich podmienok. Prijatá identita, ktorá sa nikam nedostane, nie je problém autentizácie.

Zaznamenajte metódu, použitý účet alebo certifikát a fázu, ktorá zlyhala. Táto poznámka premení nasledujúci incident na vyhľadávanie namiesto experimentu.