EAP iyada oo loo marayo gateway VPN: yaa dhammeeya habka

Tikidhka taageerada waxay sharraxaan gelitaan VPN oo guuldarraayay iyo siyaasad RADIUS oo dalbanaysa hab ka xoog badan sida inay isku dhibaato yihiin, mana aha. Gateway-ku wuxuu aqbalaa aqoonsiga oo gudbiyaa, ama wuxuu qaadaa wada-hadal EAP oo u dhexeeya macmiilka iyo server-ka aqoonsiga. Midkaas oo dhaca ayaa go'aamiya haddii isbeddelka dhinaca server-ka uu wax hagaajin karo. Akhri is-dhaafsiga ka hor inta aanad wax ka beddelin kooxda server-ka.

Labo waddo oo aqoonsi oo isku mid ka muuqda diiwaanka

Waddada koowaad gateway-ka VPN wuxuu ururiyaa magaca isticmaalaha iyo furaha sirta ah wuxuuna dirayaa RADIUS Access-Request oo leh sifada furaha sirta ah. Server-ka aqoonsigu wuxuu la barbardhigaa kaydkiisa wuxuuna ku jawaabaa aqbal ama diid. Macmiilku marnaba ma fuliyo hab EAP, sababtoo ah waxba ma dalban.

Waddada labaad macmiilka iyo server-ka aqoonsigu waxay fuliyaan habka EAP laga bilaabo ilaa dhammaadka, gateway-kuna wuxuu gudbiyaa sifooyinka EAP-Message dhexdooda. Gateway-ku weli wuxuu dhammeeyaa wada-hadalka RADIUS ee dibadda, laakiin macquulka habku wuxuu ku yaal labada gees.

Labada waddo waxay diiwaanka ku abuuraan sadar sheegaya in aqoonsigu guuldarraayay. Kaliya tan labaad ayaa saameyn karta habka EAP ee server-ku doorbido, kaliya tan koowaadna sida gateway-ku u akhriyo furaha sirta ah. In loo tixgeliyo inay is-beddelmi karaan waa sababta kooxuhu maalin ku qaataan beddelka kooxaha server-ka macmiil aan waligiis PEAP ku hadlin.

Halka habku dhab ahaan ka shaqeeyo

RFC 3579 wuxuu qeexayaa habka gudbinta: NAS wuxuu qaadaa baakadaha EAP sifooyinka RADIUS mana u baahna koodh gaar u ah nooc kasta oo EAP ah. Sidaas darteed gateway wuxuu taageeri karaa PEAP iyo EAP-TLS isagoo midkoodna fulin.

Gateway soo gudbiya furaha sirta ah ma qaado PEAP, xitaa haddii backend-ku ka aqbali lahaa PEAP macmiil kale. Daaridda PEAP ee siyaasadda server-ka kuma darayso hab macmiil aan waligiis mid soo bandhigin.

Dejinta aqoonsiga PPP waxay ka tirsan tahay adeegga PPP. Kuma dib-u-habeynayso aamusnaan waddo kasta oo IPsec ama XAuth duug ah oo isticmaasha isla server AAA, sidaas darteed isbeddel ka shaqeeya hal nooc oo gelitaan ayaa kan kale taaban karin.

Waxa NAS-ku waa inuu taageero

Gudbintu waxay shuruudda ka rartaa koodhka habka una rartaa taageerada sidaha. Gateway-ku waa inuu awood u yeeshaa inuu EAP ku qaado borotokoolka VPN ee u gaar ah, macmiilka RADIUS ee dul yaalna waa inuu awood u yeeshaa inuu diro oo helo sifooyinka EAP-Message ee cabbirrada la xiriira.

IKEv2 ahaan EAP waa qayb ka mid ah socodka aqoonsi oo qeexan, hubinta aqoonsiga iyo kalsoonida server-kuna waxay ka timaaddaa socodkaas. Calaamadda PEAP ee laga soo amaahday hirgelinta 802.1X si otomaatig ah uma gudubto, sababtoo ah wada-xaajoodka ku xeeran wuu ka duwan yahay.

Dhinaca macmiilkuna waxay leeyahay shuruudo. Waa in loo habeeyaa habka, waa inuu aaminaa shahaadada server-ka ee habku soo bandhigo, waa inuu yeeshaa aqoonsi uu habku isticmaali karo. Hab ku salaysan shahaado aan lahayn shahaadada macmiilka wuu guuldarraayaa ka hor inta RADIUS wax arkin, waana dhibaato bixinta ee ma aha siyaasadda server-ka.

Akhri hal isku-day ka hor inta aanad beddelin siyaasadda

Qabo hal isku-day la ansixiyay gateway-ka iyo server-ka aqoonsiga. Raadi sifooyinka EAP-Message codsiga RADIUS. Joogitaankoodu wuxuu sheegayaa in waddada gudbinta la isticmaalayo; maqnaanshahoodu wuxuu tilmaamayaa is-dhaafsi aqoonsi.

Gateway Linux ah, qabashada dekedda RADIUS waxay muujinaysaa sifooyinka ku jira xarigga:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Kadib barbardhig barta diidmada. Guuldarro gateway-ka ka hor baakad kasta oo RADIUS waxay ka dhigan tahay in macmiilka iyo gateway-ku aysan ku heshiin habka. Diidmo RADIUS oo qaadda sifooyinka EAP waxay ka dhigan tahay in labada gees ay fuliyeen habka oo midkood diiday natiijada.

Qorshee guurka sida hal isbeddel oo bilow ilaa dhammaad ah

Beddelka habka waxay ka dhigan tahay in la beddelo habeynta macmiilka, taageerada sidaha gateway-ka, siyaasadda habka server-ka iyo kaydka aqoonsiga si wadajir ah. Samee sidaas oo kale oo hay waddo shaqaynaysa ilaa kan cusub la caddeeyo. Isbeddel dhinaca server-ka oo kaliya waa qiyaas oo badanaa wuxuu jebiyaa macmiillada shaqaynayay. U diyaari isbeddelka hal aqoonsi tijaabo ah ka hor inta aanad taaban kooxda.

Qor isku-darka shaqeeya: borotokoolka VPN, sidaha EAP, habka lammaanaha, habka server-ka, nooca aqoonsiga iyo hubinta aqoonsiga server-ka.

Kala saar gelitaanka maamulka AAA iyo aqoonsiga VPN, ilaa hawshu si cad ugu daray labadaba. Isbeddel loogu talagalay gelitaanka fog waa inuusan kaa qaadin awoodda aad ku maamusho qalabka dhammeeya.