eapol_test përmes VPN: a ka nevojë shkëmbimi RADIUS për shtresën 2?

Kërkoni një portë switch laboratori që të mund të ekzekutoni eapol_test — dhe me siguri e keni lexuar gabim mjetin. Peer-i dhe klienti RADIUS jetojnë të dy brenda atij binari të vetëm, prandaj biseda e vetme që lë makinën është vetë shkëmbimi RADIUS. Një tunel i rrugëzuar midis hostit të provës dhe serverit të vërtetimit është e gjithë kërkesa e rrjetit. Rruga fizike 802.1X është diçka tjetër që mund t'ju duhet ende ta provoni, dhe nuk është kjo.

Pse emri i dërgon njerëzit të kërkojnë një portë switch

EAPOL është formati i kornizës që një supplicant dhe një switch përdorin në një LAN, dhe mjeti e merr hua emrin sepse u rrit nga ai botë. Ajo që dërgohet është një program prove që mban makinën e gjendjes së peer-it dhe klientin RADIUS në një proces të vetëm, prandaj dy gjysmat e një bisede 802.1X nuk takohen kurrë mbi një kabllo. Emri është histori, jo kërkesë topologjike.

Njerëzit vazhdojnë të kërkojnë portën sepse programi mbështetet mbi sjelljen e një vërtetuesi, dhe kjo tingëllon si harduer. Ngjitësi i tij riprodhon makinën e gjendjes së vërtetuesit, prandaj një provë përfundon pa asnjë pikë aksesi në dhomë; binari i kompiluar lidh peer-in EAP të wpa_supplicant me klientin RADIUS të hostapd. Heqja e switch-it heq kërcimin EAPOL, jo logjikën e vërtetimit. Ajo që mbetet është një shkëmbim klient-server midis dy hosteve IP.

Ndiqni një shkëmbim RADIUS kërcim pas kërcimi

Ndiqni një provë të vetme dhe rruga është e shkurtër. Peer-i brenda eapol_test prodhon një EAP-Response për metodën që konfiguruat, dhe klienti RADIUS në të njëjtin proces e vendos në një Access-Request, duke mbartur ngarkesën në atribute EAP-Message pranë një Message-Authenticator. Ai datagram adresohet te serveri në portën UDP 1812 dhe lë hostin si çdo paketë tjetër IP, dhe aty hyn tuneli. Serveri e vlerëson sipas politikës së tij dhe moduleve të metodave, pastaj përgjigjet me Access-Challenge, Access-Accept ose Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binari merr adresën e serverit, portën dhe sekretin e përbashkët nga rreshti i komandës, dhe metodën e kredencialet nga një bllok konfigurimi në stilin e wpa_supplicant. Asgjë në atë thirrje nuk varet nga fqinjësia e shtresës 2: -a arrihet me rrugëzim, dhe mjafton një VPN që e rrugëzon. Nëse tuneli e hedh datagramin, prova dështon saktësisht si kundër një serveri të paarritshëm në një LAN të sheshtë.

Binari dhe politika e serverit janë lista të ndryshme

Dy lista të pavarura vendosin nëse një metodë mund të kalojë, dhe ngatërrimi i tyre kushton një ditë. Lista e parë është kompiluar në binar: konfigurimi i ndërtimit zgjedh cilat metoda EAP ekzistojnë, prandaj një ndërtim pa një metodë nuk mund të negociojë për të, çfarëdo që lejon serveri. Lista e dytë jeton në server, ku politika thotë cilat nga metodat e mbështetura mund të përdorë kjo klasë klientësh. Kalimi kërkon një prerje, dhe asnjë listë nuk mund të plotësojë një boshllëk në tjetrën.

Kontrolloni atë listë të parë përpara se të fajësoni serverin. Kërkoni emrin e metodës në binarin e instaluar, ose lexoni konfigurimin e ndërtimit nga i cili erdhi. Nëse metoda mungon, rindërtoni në vend që të redaktoni politikën RADIUS; nëse është e pranishme dhe shkëmbimi vazhdon të dështojë, problemi është zhvendosur te kredencialet, politika ose besimi në certifikatë.

Çfarë nuk mbulon ende një kalim

Një ekzekutim i suksesshëm provon një metodë, për një grup kredencialesh, kundër një politike RADIUS, mbi një rrugë rrjeti. Ai nuk ushtron radion e pikës së aksesit, trajtimin EAPOL të një switch, caktimin e VLAN që vjen pas vërtetimit, as mënyrën se si një koncentrator VPN integrohet me të njëjtin server. Ato komponentë nuk ishin kurrë në rrugën e provuar. Trajtojeni rezultatin si provë të kufizuar, dhe thoni cilin kufi mbulon kur e raportoni.

Regjistri i dobishëm është ajo që serveri dhe procesi vëzhguan secili: cila metodë u negociua, ku u ndal shkëmbimi dhe çfarë regjistroi serveri. Mbani sekretet e përbashkëta dhe çelësat privatë jashtë atij regjistri.

Listë kontrolli përpara se të citoni rezultatin

Përpara se dikush ta trajtojë daljen si miratim, konfirmoni katër gjëra. Ndërtimi përfshin metodën e provuar, pika fundore RADIUS dhe sekreti i përbashkët i përkasin mjedisit që po provohet, politika e serverit e pranon këtë identitet prove, dhe rruga e rrjetit është e të njëjtës klasë me rrugën që përdorin klientët e prodhimit. Pastaj emërtoni çfarë nuk preku ekzekutimi: pikë aksesi, switch, VLAN dhe integrimi i koncentratorit secili ka nevojë për rreshtin e vet në planin e provës.

Dy prova me dy pronarë mundin një miratim të paqartë. Ekzekutimi me eapol_test përgjigjet pyetjes së metodës dhe serverit; shërbimi i aksesit përgjigjet pyetjes së zbatimit.