Prečo RADIUS vidí IP adresu namiesto používateľského mena VPN

strongSwan môže vložiť identitu IKE do RADIUS User-Name ešte pred výmenou EAP. Rozhodnite, kto si vyžiada identitu účtu, a potom porovnajte jeden pokus.

Klient Windows IKEv2 sa pripojí a požiadavka RADIUS prichádza s adresou tam, kde má byť názov účtu. Zatiaľ nič nezlyhalo, a práve to mätie: brána hlási identitu, ktorú klient predložil na vrstve IKE. Používateľské meno, ktoré váš backend chce, môže pochádzať zo samostatnej výmeny EAP, ktorá ešte neprebehla. Rozhodnite, kto oň požiada, skôr než účet zmeníte.

Dve identity cestujú v jednom spojení

V jednom spojení sa môžu objaviť dve mená. Identita IKE identifikuje protistranu pri nastavovaní tunela a plugin eap-radius ju najprv skopíruje do RADIUS User-Name. Identita EAP je iná hodnota, používa sa na overenie používateľa, a ak ju nikto nevyžiada, nemusí byť nikdy odoslaná.

Preto môže protokol RADIUS zobrazovať adresu, aj keď účet existuje a heslo je správne. Backend sa pýta na nesprávnu vrstvu. Atribút RADIUS je iba prenosom pre zvolené meno.

Požiadajte bránu, aby si vyžiadala identitu EAP

Jedno podporované usporiadanie necháva bránu vyžiadať identitu EAP, skôr než odovzdá overovanie protokolu RADIUS. V časti pre vzdialené overovanie spojenia nastavte metódu na eap-radius a výslovne si vyžiadajte identitu EAP. Nasledujúci fragment patrí dovnútra existujúceho bloku spojenia, nie do vlastného súboru. Potvrďte spojenie a konfiguračný backend, skôr než skopírujete syntax z iného nasadenia.

remote {
    auth = eap-radius
    eap_id = %any
}

S tým backend dostane identitu, ktorú klient poskytuje vo výmene EAP, namiesto adresy IKE. Nič iné na spojení sa nemení.

Alebo nechajte RADIUS začať výmenu EAP

Druhé usporiadanie necháva prvý ťah na strane RADIUS. Plugin môže odoslať indikáciu EAP-Start namiesto čakania na počiatočnú odpoveď s identitou, čo serveru umožní výmenu viesť. Ide o konfiguráciu na úrovni pluginu, takže ovplyvňuje každé spojenie, ktoré plugin používa.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Vyberte jedno usporiadanie s operátorom RADIUS, namiesto toho, aby ste povolili obe a dúfali. Opisujú rôzne pracovné postupy a server, ktorý očakáva, že začne, si nemusí poradiť s bránou, ktorá začína konverzáciu. Dokumentácia pluginu opisuje obe, vrátane toho, ktorú identitu nesie každý krok.

Sledujte jeden pokus v oboch protokoloch

Porovnajte jeden pokus v oboch protokoloch. Sledujte identitu IKE, potom či prebehne výmena EAP-Identity, a potom aké meno dostane krok overovania. Backend, ktorý adresu odmietne pred výmenou EAP, môže proces zastaviť skôr, než sa zamýšľaná identita vôbec objaví.

journalctl -u strongswan -f

Zachovajte presný formát používateľského mena, ktorý systém identít očakáva, vrátane prefixu domény. Nikdy nevymýšľajte účet z hodnoty v tvare adresy a nikdy nevypínajte overovanie, aby ste splnili pravidlo zásad. Identita EAP je tvrdené meno a metóda ho stále musí preukázať. Výsledné meno zapíšte do testovacieho záznamu, aby ďalší pokus začal zo známeho stavu.

Ak opravený tok dosiahne správny účet a je stále odmietaný, ďalším dôkazom je metóda EAP a zásady backendu, nie identita. Opakované resetovanie hesla nemôže opraviť hodnotu zvolenú na skoršej vrstve protokolu.

Súvisiace články