EAP skozi prehod VPN: kdo konča metodo

Zahtevki za podporo opisujejo neuspešno prijavo v VPN in pravilnik RADIUS, ki zahteva močnejšo metodo, kot da bi šlo za isto težavo, pa ne gre. Prehod bodisi sprejme poverilnice in jih posreduje, bodisi vodi pogovor EAP med odjemalcem in strežnikom za preverjanje pristnosti. Kaj od tega se zgodi, odloča, ali lahko sprememba na strani strežnika sploh kaj popravi. Preberite izmenjavo, preden uredite skupino strežnika.

Dve poti preverjanja pristnosti, ki sta v dnevniku videti enako

Na prvi poti prehod VPN zbere uporabniško ime in geslo ter pošlje RADIUS Access-Request z atributom gesla. Strežnik za preverjanje pristnosti ga primerja s svojo shrambo in odgovori s sprejetjem ali zavrnitvijo. Odjemalec nikoli ne izvede metode EAP, ker ga nič ni prosilo za to.

Na drugi poti odjemalec in strežnik za preverjanje pristnosti izvajata metodo EAP od začetka do konca, prehod pa med njima posreduje atribute EAP-Message. Prehod še vedno konča zunanji pogovor RADIUS, vendar logika metode živi na obeh koncih.

Obe poti ustvarita v dnevniku vrstico, da preverjanje pristnosti ni uspelo. Le na drugo lahko vpliva, katero metodo EAP ima strežnik raje, in le na prvo to, kako prehod bere geslo. Obravnavati ju kot zamenljivi je razlog, da ekipe preživijo dan ob spreminjanju skupin strežnika za odjemalca, ki nikoli ni nameraval govoriti PEAP.

Kje metoda dejansko teče

RFC 3579 določa prehodno ureditev: NAS nosi pakete EAP v atributih RADIUS in ne potrebuje kode, specifične za metodo, za vsak tip EAP. Zato lahko prehod podpira PEAP in EAP-TLS, ne da bi katero koli izvedel.

Prehod, ki pošlje geslo, ne nosi PEAP, tudi če bi zaledni sistem sprejel PEAP od drugega odjemalca. Omogočanje PEAP v pravilniku strežnika ne doda metode odjemalcu, ki je nikoli ni ponudil.

Nastavitve preverjanja pristnosti PPP spadajo k storitvi PPP. Ne prekonfigurirajo tiho vsake poti IPsec ali starejšega XAuth, ki uporablja isti strežnik AAA, zato lahko sprememba, ki deluje za eno vrsto dostopa, pusti drugo nedotaknjeno.

Kaj mora podpirati NAS

Prehod premakne zahtevo s kode metode na podporo nosilca. Prehod mora znati nositi EAP po svojem protokolu VPN, odjemalec RADIUS na njem pa mora znati pošiljati in prejemati atribute EAP-Message ustreznih velikosti.

Pri IKEv2 je EAP del opredeljenega toka preverjanja pristnosti in preverjanja identitete ter zaupanja strežnika izhajajo iz tega toka. Oznaka PEAP, izposojena iz uvedbe 802.1X, se ne prenese samodejno, ker so pogajanja okoli nje drugačna.

Tudi stran odjemalca ima zahteve. Nastavljen mora biti za metodo, zaupati mora strežniškemu potrdilu, ki ga metoda predstavi, in imeti poverilnice, ki jih metoda lahko uporabi. Metoda, ki temelji na potrdilih brez odjemalčevega potrdila, ne uspe, preden RADIUS karkoli vidi, in to je težava preskrbe, ne pravilnika strežnika.

Preberite en poskus, preden spremenite pravilnik

Zajemite en odobren poskus na prehodu in na strežniku za preverjanje pristnosti. Poiščite atribute EAP-Message v zahtevi RADIUS. Njihova prisotnost pove, da se uporablja prehodna pot; njihova odsotnost kaže na izmenjavo poverilnic.

Na prehodu Linux zajem na vratih RADIUS pokaže, kateri atributi so na žici:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Nato primerjajte točko zavrnitve. Napaka na prehodu pred katerim koli paketom RADIUS pomeni, da se odjemalec in prehod nista strinjala glede metode. Zavrnitev RADIUS z atributi EAP pomeni, da sta konca izvedla metodo in eden od njiju je rezultat zavrnil.

Načrtujte selitev kot eno spremembo od začetka do konca

Sprememba metode pomeni hkrati spremeniti konfiguracijo odjemalca, podporo nosilca na prehodu, pravilnik metode na strežniku in shrambo poverilnic. Naredite to v tem vrstnem redu in ohranite delujočo pot, dokler se nova ne izkaže. Sprememba samo na strani strežnika je ugibanje in običajno pokvari odjemalce, ki so delovali. Pripravite spremembo na eni preskusni identiteti, preden se dotaknete skupine.

Zapišite kombinacijo, ki deluje: protokol VPN, nosilec EAP, metoda partnerja, metoda strežnika, vrsta poverilnic in preverjanje identitete strežnika.

Skrbniško prijavo AAA imejte ločeno od preverjanja pristnosti VPN, razen če naloga izrecno vključuje oboje. Sprememba, namenjena oddaljenemu dostopu, vam ne sme vzeti možnosti upravljanja naprave, ki jo konča.