eapol_test prek VPN: potrebuje izmenjava RADIUS plast 2?

Zaprosite za laboratorijska vrata stikala, da boste lahko zagnali eapol_test — in orodje ste verjetno napačno prebrali. Peer in odjemalec RADIUS oba živita znotraj te ene binarne datoteke, zato je edini pogovor, ki zapusti stroj, sama izmenjava RADIUS. Usmerjen tunel med preskusnim gostiteljem in strežnikom za preverjanje pristnosti je celotna omrežna zahteva. Fizična pot 802.1X je nekaj drugega, kar boste morda še morali preskusiti, in to ni ta.

Zakaj ime pošilja ljudi iskat vrata stikala

EAPOL je oblika okvira, ki jo supplicant in stikalo uporabljata v LAN, in orodje si ime izposodi, ker je zraslo iz tega sveta. Dobavljen je preskusni program, ki nosi stroj stanj peera in odjemalca RADIUS v enem procesu, zato se obe polovici pogovora 802.1X nikoli ne srečata po žici. Ime je zgodovina, ne zahteva po topologiji.

Ljudje še vedno zahtevajo vrata, ker program sloni na vedenju overitelja, in to zveni kot strojna oprema. Njegovo lepilo poustvari stroj stanj overitelja, zato se preskus zaključi brez dostopne točke v sobi; prevedena binarna datoteka poveže EAP peer iz wpa_supplicant z odjemalcem RADIUS iz hostapd. Odstranitev stikala odstrani skok EAPOL, ne logike preverjanja pristnosti. Kar ostane, je izmenjava odjemalec-strežnik med dvema gostiteljema IP.

Sledite eni izmenjavi RADIUS skok za skokom

Sledite enemu poskusu in pot je kratka. Peer znotraj eapol_test ustvari EAP-Response za metodo, ki ste jo nastavili, in odjemalec RADIUS v istem procesu ga vstavi v Access-Request ter nosi koristni tovor v atributih EAP-Message ob Message-Authenticator. Ta datagram je naslovljen na strežnik na vratih UDP 1812 in zapusti gostitelja kot vsak drug paket IP, in tu vstopi tunel. Strežnik ga oceni po svoji politiki in svojih modulih metod, nato odgovori z Access-Challenge, Access-Accept ali Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binarna datoteka vzame naslov strežnika, vrata in skupno skrivnost iz ukazne vrstice, metodo in poverilnice pa iz konfiguracijskega bloka v slogu wpa_supplicant. Nič v tem klicu ni odvisno od sosedstva plasti 2: -a se doseže z usmerjanjem, in dovolj je VPN, ki ga usmerja. Če tunel spusti datagram, preskus spodleti natanko tako kot proti nedosegljivemu strežniku v ravnem LAN.

Binarna datoteka in strežniška politika sta različna seznama

Dva neodvisna seznama odločata, ali lahko metoda preide, in njuno mešanje stane dan. Prvi seznam je preveden v binarno datoteko: konfiguracija gradnje izbere, katere metode EAP obstajajo, zato se gradnja brez metode o njej ne more pogajati, ne glede na to, kaj strežnik dovoli. Drugi seznam živi na strežniku, kjer politika pove, katere od podprtih metod sme uporabljati ta razred odjemalcev. Za prehod je potreben presek in noben seznam ne more zapolniti vrzeli v drugem.

Preverite ta prvi seznam, preden okrivite strežnik. Poiščite ime metode v nameščeni binarni datoteki ali preberite konfiguracijo gradnje, iz katere izhaja. Če metode ni, znova zgradite, namesto da bi urejali politiko RADIUS; če je prisotna in izmenjava še vedno spodleti, se je težava preselila na poverilnice, politiko ali zaupanje v potrdilo.

Česa prehod še vedno ne pokriva

Uspešna izvedba dokaže eno metodo, za en nabor poverilnic, proti eni politiki RADIUS, po eni omrežni poti. Ne vadi radia dostopne točke, obdelave EAPOL s stikalom, dodelitve VLAN, ki sledi preverjanju pristnosti, niti načina, kako se koncentrator VPN poveže z istim strežnikom. Te komponente nikoli niso bile na preskusni poti. Rezultat obravnavajte kot omejen dokaz in ob poročanju povejte, katero mejo pokriva.

Koristen zapis je tisto, kar sta strežnik in proces vsak zase opazila: katera metoda je bila dogovorjena, kje se je izmenjava ustavila in kaj je strežnik zabeležil. Skupne skrivnosti in zasebne ključe hranite zunaj tega zapisa.

Kontrolni seznam pred navajanjem rezultata

Preden kdo obravnava izhod kot odobritev, potrdite štiri stvari. Gradnja vsebuje preskušeno metodo, končna točka RADIUS in skupna skrivnost pripadata preskušanemu okolju, strežniška politika dopušča to preskusno identiteto in omrežna pot je istega razreda kot pot, ki jo uporabljajo produkcijski odjemalci. Nato poimenujte, česar se izvedba ni dotaknila: dostopna točka, stikalo, VLAN in povezava koncentratorja vsak potrebuje svojo vrstico v preskusnem načrtu.

Dva preskusa z dvema lastnikoma premagata eno dvoumno odobritev. Izvedba eapol_test odgovori na vprašanje metode in strežnika; dostopna storitev odgovori na vprašanje uveljavljanja.