EAP cez bránu VPN: kto ukončuje metódu

Tikety podpory opisujú neúspešné prihlásenie VPN a politiku RADIUS vyžadujúcu silnejšiu metódu, akoby išlo o ten istý problém, ale nie je. Brána buď prijme údaje a pošle ich ďalej, alebo vedie rozhovor EAP medzi klientom a autentifikačným serverom. Čo z toho nastane, rozhoduje, či zmena na strane servera môže vôbec niečo opraviť. Prečítajte si výmenu skôr, než upravíte skupinu servera.

Dve autentifikačné cesty, ktoré v logu vyzerajú rovnako

Na prvej ceste brána VPN zhromažďuje meno a heslo a pošle RADIUS Access-Request s atribútom hesla. Autentifikačný server ho porovná so svojím úložiskom a odpovie prijatím alebo odmietnutím. Klient nikdy nespustí metódu EAP, pretože ho o to nič nepožiadalo.

Na druhej ceste klient a autentifikačný server spúšťajú metódu EAP od začiatku do konca a brána medzi nimi posiela atribúty EAP-Message. Brána stále ukončuje vonkajší rozhovor RADIUS, ale logika metódy žije na oboch koncoch.

Obe cesty vytvoria v logu riadok, že autentifikácia zlyhala. Len druhú môže ovplyvniť, ktorú metódu EAP server preferuje, a len prvú to, ako brána číta heslo. Považovať ich za zameniteľné znamená, že tímy strávia deň zmenou skupín servera pre klienta, ktorý nikdy nemal hovoriť PEAP.

Kde metóda skutočne beží

RFC 3579 definuje priechodné usporiadanie: NAS nesie pakety EAP v atribútoch RADIUS a nepotrebuje kód špecifický pre každý typ EAP. Preto brána môže podporovať PEAP aj EAP-TLS bez toho, aby ktorúkoľvek implementovala.

Brána, ktorá posiela heslo, nenesie PEAP, aj keby backend prijal PEAP od iného klienta. Zapnutie PEAP v politike servera nepridá metódu klientovi, ktorý ju nikdy neponúkol.

Nastavenia autentifikácie PPP patria službe PPP. Nerekonfigurujú ticho každú cestu IPsec alebo staršieho XAuth, ktorá používa rovnaký server AAA, takže zmena fungujúca pre jeden typ prístupu môže druhý nechať nedotknutý.

Čo musí NAS podporovať

Priechod presúva požiadavku z kódu metódy na podporu nosiča. Brána musí vedieť niesť EAP cez svoj protokol VPN a jej klient RADIUS musí vedieť odosielať a prijímať atribúty EAP-Message príslušných veľkostí.

Pri IKEv2 je EAP súčasťou definovaného autentifikačného toku a kontroly identity a dôvery servera pochádzajú z neho. Štítok PEAP vypožičaný z nasadenia 802.1X sa neprenáša automaticky, pretože rokovania okolo neho sú iné.

Strana klienta má tiež požiadavky. Musí byť nakonfigurovaná pre metódu, dôverovať certifikátu servera, ktorý metóda predkladá, a mať údaje, ktoré metóda dokáže použiť. Metóda založená na certifikáte bez klientskeho certifikátu zlyhá skôr, než RADIUS čokoľvek uvidí, a to je problém zabezpečenia, nie politiky servera.

Prečítajte si jeden pokus pred zmenou politiky

Zachyťte jeden schválený pokus na bráne a na autentifikačnom serveri. Hľadajte atribúty EAP-Message v požiadavke RADIUS. Ich prítomnosť hovorí, že sa používa priechodná cesta; ich neprítomnosť ukazuje na výmenu údajov.

Na bráne Linux zachytenie na porte RADIUS ukáže, ktoré atribúty sú na vedení:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Potom porovnajte bod odmietnutia. Zlyhanie na bráne pred akýmkoľvek paketom RADIUS znamená, že klient a brána sa na metóde nezhodli. Odmietnutie RADIUS s atribútmi EAP znamená, že konce metódu spustili a jeden z nich výsledok odmietol.

Naplánujte migráciu ako jednu zmenu od začiatku do konca

Zmena metódy znamená zmeniť súčasne konfiguráciu klienta, podporu nosiča na bráne, politiku metódy na serveri a úložisko údajov. Urobte to v tomto poradí a udržujte funkčnú cestu, kým sa nová nepreukáže. Zmena len na strane servera je dohad a zvyčajne pokazí klientov, ktorí fungovali. Pripravte zmenu na jednej testovacej identite, než sa dotknete skupiny.

Zapíšte kombináciu, ktorá funguje: protokol VPN, nosič EAP, metóda partnera, metóda servera, typ údajov a kontrola identity servera.

Udržujte administratívne prihlásenie AAA oddelene od autentifikácie VPN, ak úloha výslovne nezahŕňa oboje. Zmena určená pre vzdialený prístup by vám nemala vziať možnosť spravovať zariadenie, ktoré ju ukončuje.