eapol_test cez VPN: potrebuje výmena RADIUS vrstvu 2?

Požiadajte o laboratórny port na switchi, aby ste mohli spustiť eapol_test — a pravdepodobne ste nástroj zle pochopili. Peer aj klient RADIUS žijú vnútri jedného binárneho súboru, takže jediná konverzácia, ktorá opúšťa stroj, je samotná výmena RADIUS. Smerovaný tunel medzi testovacím hostiteľom a autentifikačným serverom je celá sieťová požiadavka. Fyzická cesta 802.1X je iná vec, ktorú možno ešte potrebujete testovať, a nie je to táto.

Prečo názov posiela ľudí hľadať port na switchi

EAPOL je formát rámca, ktorý supplicant a switch používajú v LAN, a nástroj si meno požičiava, pretože vyrástol z toho sveta. Dodáva sa testovací program, ktorý nesie stavový automat peera a klienta RADIUS v jednom procese, takže sa obe polovice konverzácie 802.1X nikdy nestretnú po drôte. Meno je história, nie požiadavka na topológiu.

Ľudia o port žiadajú ďalej, pretože program stojí na správaní autentifikátora, a to znie ako hardvér. Jeho lepidlo reprodukuje stavový automat autentifikátora, takže test skončí bez prístupového bodu v miestnosti; skompilovaný binárny súbor prepája EAP peer z wpa_supplicant s klientom RADIUS z hostapd. Odobratie switchu odoberie EAPOL skok, nie autentifikačnú logiku. Čo zostáva, je výmena klient-server medzi dvoma IP hostiteľmi.

Sledujte jednu výmenu RADIUS skok za skokom

Sledujte jeden pokus a cesta je krátka. Peer vnútri eapol_test vytvorí EAP-Response pre metódu, ktorú ste nakonfigurovali, a klient RADIUS v tom istom procese ju vloží do Access-Request a nesie užitočné zaťaženie v atribútoch EAP-Message vedľa Message-Authenticator. Tento datagram je adresovaný serveru na UDP porte 1812 a opúšťa hostiteľa ako každý iný IP paket, a práve tam vstupuje tunel. Server ho vyhodnotí podľa svojej politiky a svojich modulov metód a potom odpovie Access-Challenge, Access-Accept alebo Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binárny súbor berie adresu servera, port a spoločné tajomstvo z príkazového riadka a metódu a prihlasovacie údaje z konfiguračného bloku v štýle wpa_supplicant. Nič v tomto volaní nezávisí od susedstva vrstvy 2: -a sa dosahuje smerovaním a stačí VPN, ktorá ho smeruje. Ak tunel datagram zahodí, test zlyhá presne ako proti nedostupnému serveru v plochej LAN.

Binárny súbor a politika servera sú rôzne zoznamy

O tom, či metóda prejde, rozhodujú dva nezávislé zoznamy a ich zámena stojí deň. Prvý zoznam je skompilovaný do binárneho súboru: konfigurácia zostavenia vyberá, ktoré metódy EAP existujú, takže zostavenie bez metódy ju nemôže vyjednať, čokoľvek server povolí. Druhý zoznam žije na serveri, kde politika hovorí, ktoré z podporovaných metód smie táto trieda klientov použiť. Na prechod je potrebný prienik a žiadny zoznam nemôže vyplniť medzeru v tom druhom.

Skontrolujte ten prvý zoznam, kým obviníte server. Hľadajte názov metódy v nainštalovanom binárnom súbore alebo si prečítajte konfiguráciu zostavenia, z ktorej pochádza. Ak metóda chýba, zostavte znova, namiesto toho aby ste upravovali politiku RADIUS; ak je prítomná a výmena stále zlyháva, problém sa presunul k prihlasovacím údajom, politike alebo dôvere v certifikát.

Čo prechod stále nepokrýva

Úspešné spustenie dokazuje jednu metódu, pre jednu sadu prihlasovacích údajov, proti jednej politike RADIUS, po jednej sieťovej ceste. Neskúša rádio prístupového bodu, spracovanie EAPOL switchom, priradenie VLAN, ktoré nasleduje po autentifikácii, ani spôsob, akým sa koncentrátor VPN integruje s tým istým serverom. Tie komponenty nikdy neboli na testovanej ceste. Berte výsledok ako obmedzený dôkaz a pri hlásení povedzte, ktorú hranicu pokrýva.

Užitočný záznam je to, čo server a proces každý pozorovali: ktorá metóda bola vyjednaná, kde sa výmena zastavila a čo server zalogoval. Spoločné tajomstvá a súkromné kľúče držte mimo tohto záznamu.

Kontrolný zoznam pred citovaním výsledku

Kým niekto vezme výstup ako schválenie, potvrďte štyri veci. Zostavenie obsahuje testovanú metódu, koncový bod RADIUS a spoločné tajomstvo patria testovanému prostrediu, politika servera pripúšťa túto testovaciu identitu a sieťová cesta je rovnakej triedy ako cesta, ktorú používajú produkčné klienty. Potom pomenujte, čoho sa spustenie nedotklo: prístupový bod, switch, VLAN a integrácia koncentrátora každý potrebujú vlastný riadok v testovacom pláne.

Dva testy s dvoma vlastníkmi porazia jedno nejednoznačné schválenie. Spustenie eapol_test odpovedá na otázku metódy a servera; prístupová služba odpovedá na otázku vynútenia.