EAP apo certifikata klienti? Vendosja e vërtetimit IKEv2

Gateway-i juaj mund të provojë identitetin e vet me një certifikatë ndërsa provon tuajin përmes EAP, dhe ky kombinim është i zakonshëm, jo kontradiktor. Dy mekanizmat i përgjigjen pyetjeve të ndryshme: a është kjo pika fundore ajo që pres, dhe a lejohet ky përdorues ose pajisje. Të shohësh EAP në një profil nuk e fik vërtetimin e serverit. Është leximi i profilit si një rregullim i vetëm ai që i çon njerëzit të rivendosin kredencialin e gabuar.

Përcaktoni cila pohim dështoi përpara se të prekni cilindo nga dy objektet. Faza e dështimit jua thotë, nëse e lexoni sipas radhës.

Dy kredenciale, dy pohime

Një certifikatë serveri lidh një emër me një çelës, dhe klienti e kontrollon atë lidhje kundrejt depove të tij të besimit. Një certifikatë klienti lidh një identitet me një çelës, dhe gateway-i kontrollon nëse certifikata e paraqitur zinxhirohet në diçka që ai e beson. EAP transporton një shkëmbim vërtetimi, përmbajtja e të cilit varet nga metoda e zgjedhur. Këto janë tre struktura me jetëgjatësi, pronarë dhe mënyra dështimi të ndryshme.

Një frazë kalimi që hap një çelës privat nuk është fjalëkalim llogarie, edhe kur të dy kërkesat shfaqen brenda sekondave nga njëra-tjetra. Njëra është lokale në depon e çelësave të pajisjes, dhe tjetra vërtetohet nga një server vërtetimi pas gateway-it.

EAP është një enë, jo një metodë

EAP është një kuadër: gateway-i dhe klienti negociojnë një metodë, dhe metoda vendos nëse përfshihen një fjalëkalim, një token, një shkëmbim i brendshëm i tunelizuar ose një certifikatë, siç paraqet dokumentacioni i strongSwan për IKEv2. Kjo është arsyeja pse EAP-TLS nuk i ngjan aspak EAP-MSCHAPv2 nga ana e klientit, edhe pse të dyja shfaqen si EAP në një menu. Një profil që përmend vetëm EAP nuk ju ka thënë se çfarë do të pyetet përdoruesi.

Lexoni metodën dhe backend-in bashkë. Backend-i përcakton formatin e llogarisë, sjelljen e bllokimit dhe çfarë ndryshon në të vërtetë një rivendosje fjalëkalimi, dhe asgjë nga këto nuk është e dukshme në profilin e klientit.

Vendosja e përzier është normale

Certifikata e serverit plus EAP për përdoruesin është forma që vendosin shumica e gateway-ve të aksesit në distancë, sepse i jep klientit një pikë fundore të verifikueshme dhe operatorit një identitet për çdo përdorues në një depo qendrore llogarish. Ekzistojnë edhe vendosje me certifikata klienti, zakonisht aty ku identiteti i pajisjes ka më shumë rëndësi se një fjalëkalim. Të dyja janë legjitime, dhe gabimi është të supozoni se ajo që patë javën e kaluar është ajo që keni përpara.

Kërkojini operatorit metodën dhe formatin e llogarisë të dokumentuara, në vend që t'i nxirrni nga emrat e fushave në një klient.

Vendosja nga faza e dështimit

Renditni vëzhgimet. Një gabim besimi përpara çdo kërkese përdoruesi është problem i certifikatës së serverit dhe asnjë fjalëkalim nuk e rregullon. Një kërkesë e ndjekur nga një refuzim është problem i vërtetimit të përdoruesit, me metodën EAP dhe backend-in si të dyshuar. Një vërtetim i suksesshëm i ndjekur nga një dështim child-SA nuk është as njëra as tjetra.

Rëndësi kanë edhe dy dallime. Një klient që refuzon certifikatën e serverit zakonisht raporton një mospërputhje emri ose një autoritet të panjohur, që është çështje e depove të besimit. Një gateway që refuzon përdoruesin shpesh regjistron metodën EAP dhe një kategori arsyeje, që është çështje llogarie ose politike.

Operimi i dy modeleve

Për certifikatat puna është lëshimi, rinovimi, revokimi dhe heqja e pajisjeve të humbura, dhe ndodh sipas një plani që ju kontrolloni. Për EAP puna është cikli i jetës së llogarisë, mbështetja e metodave në çdo platformë klienti dhe çdo faktor i dytë që kërkon backend-i. Asnjë model nuk është më i lirë në mënyrë abstrakte; ata ngarkojnë ekipe të ndryshme. Shkruani cilin përdor në të vërtetë vendosja juaj, sepse skriptet e mbështetjes ndryshojnë më shumë se konfigurimi.

Mbani të ndara në shënimet tuaja. Skadimi i një certifikate prodhon një dështim në një datë, bllokimi i llogarisë prodhon një dështim pas një ndryshimi fjalëkalimi, dhe mospërputhja e metodës prodhon një dështim vetëm në një platformë.

Pasi identiteti pranohet

Vërtetimi është një portë. Shoqata e sigurisë fëmijë, përzgjedhësit e trafikut, DNS dhe lejet e vetë aplikacionit janë porta të mëvonshme, dhe secila dështon sipas kushteve të veta. Një identitet i pranuar që nuk arrin asgjë nuk është problem vërtetimi.

Regjistroni metodën, llogarinë ose certifikatën e përdorur dhe fazën që dështoi. Ai shënim e kthen incidentin e radhës në një kërkim në vend të një eksperimenti.