Zakaj RADIUS vidi naslov IP namesto uporabniškega imena VPN

strongSwan lahko vstavi identiteto IKE v RADIUS User-Name pred kakršno koli izmenjavo EAP. Odločite, kdo zahteva identiteto računa, nato povežite en poskus.

Odjemalec Windows IKEv2 se poveže in zahteva RADIUS prispe z naslovom tam, kjer bi moralo biti ime računa. Nič še ni spodletelo, in prav to zmede: prehod poroča identiteto, ki jo je odjemalec predstavil na plasti IKE. Uporabniško ime, ki ga želi vaš backend, lahko prihaja iz ločene izmenjave EAP, ki se še ni zgodila. Odločite, kdo ga zahteva, preden spremenite račun.

Dve identiteti potujeta v eni povezavi

V eni povezavi se lahko pojavita dve imeni. Identiteta IKE prepozna partnerja med nastavitvijo tunela, vtičnik eap-radius pa jo najprej kopira v RADIUS User-Name. Identiteta EAP je druga vrednost, uporablja se za preverjanje uporabnika, in morda ne bo nikoli poslana, če je nihče ne zahteva.

Zato lahko dnevnik RADIUS prikazuje naslov, čeprav račun obstaja in je geslo pravilno. Backend se sprašuje o napačni plasti. Atribut RADIUS je le prenos za izbrano ime.

Prosíte prehod, naj zahteva identiteto EAP

Ena podprta postavitev omogoča prehodu, da zahteva identiteto EAP, preden preverjanje preda RADIUS-u. V razdelku za oddaljeno preverjanje povezave nastavite metodo na eap-radius in izrecno zahtevajte identiteto EAP. Spodnji odlomek spada v obstoječi blok povezave, ne v lastno datoteko. Potrdite povezavo in konfiguracijski backend, preden kopirate sintakso iz druge namestitve.

remote {
    auth = eap-radius
    eap_id = %any
}

S tem backend prejme identiteto, ki jo odjemalec zagotovi v izmenjavi EAP, namesto naslova IKE. Nič drugega na povezavi se ne spremeni.

Ali pustite, da RADIUS začne izmenjavo EAP

Druga postavitev prvo potezo prepusti strani RADIUS. Vtičnik lahko pošlje indikacijo EAP-Start namesto da čaka na začetni odgovor z identiteto, kar strežniku omogoči vodenje izmenjave. To je konfiguracija na ravni vtičnika, zato vpliva na vsako povezavo, ki vtičnik uporablja.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Izberite eno postavitev skupaj z operaterjem RADIUS, namesto da omogočite obe in upate. Opisujeta različne delovne tokove, in strežnik, ki pričakuje, da bo začel, se ne bo nujno spopadel s prehodom, ki začne pogovor. Dokumentacija vtičnika opisuje obe, vključno s tem, katero identiteto nosi vsak korak.

Sledite enemu poskusu v obeh dnevnikih

Povežite en poskus v obeh dnevnikih. Opazujte identiteto IKE, nato ali se zgodi izmenjava EAP-Identity, in nato katero ime prejme korak preverjanja. Backend, ki naslov zavrne pred izmenjavo EAP, lahko postopek ustavi, preden se načrtovana identiteta sploh pokaže.

journalctl -u strongswan -f

Ohranite natančno obliko uporabniškega imena, ki jo pričakuje sistem identitet, vključno s predpono domene. Nikoli si ne izmislite računa iz vrednosti v obliki naslova in nikoli ne izklopite preverjanja, da bi zadostili pravilu politike. Identiteta EAP je zatrjevano ime, in metoda ga mora še vedno dokazati. Nastalo ime zapišite v preskusni zapis, da se naslednji poskus začne iz znanega stanja.

Če popravljeni tok doseže pravi račun in je še vedno zavrnjen, je naslednji dokaz metoda EAP in politika backenda, ne identiteta. Ponavljanje ponastavitve gesla ne more popraviti vrednosti, izbrane na prejšnji plasti protokola.

Sorodni članki