Pse RADIUS sheh një adresë IP në vend të emrit të përdoruesit VPN

strongSwan mund ta vendosë identitetin IKE në RADIUS User-Name para çdo shkëmbimi EAP. Vendosni kush e kërkon identitetin e llogarisë, pastaj korreloni një provë.

Një klient Windows IKEv2 lidhet, dhe kërkesa RADIUS arrin me një adresë aty ku duhet të jetë emri i llogarisë. Asgjë nuk ka dështuar ende, dhe pikërisht kjo ngatërron: porta raporton identitetin që klienti paraqiti në shtresën IKE. Emri i përdoruesit që kërkon backend-i juaj mund të vijë nga një shkëmbim EAP i veçantë që nuk ka ndodhur ende. Vendosni kush e kërkon para se të ndryshoni llogarinë.

Dy identitete udhëtojnë në një lidhje

Në një lidhje mund të shfaqen dy emra. Identiteti IKE identifikon palën gjatë konfigurimit të tunelit, dhe shtojca eap-radius e kopjon atë fillimisht në RADIUS User-Name. Identiteti EAP është një vlerë tjetër, e përdorur për vërtetimin e përdoruesit, dhe mund të mos dërgohet kurrë nëse askush nuk e kërkon.

Prandaj regjistri RADIUS mund të tregojë një adresë ndërsa llogaria ekziston dhe fjalëkalimi është i saktë. Backend-i pyetet për shtresën e gabuar. Atributi RADIUS është vetëm transporti për emrin që u zgjodh.

Kërkojini portës të kërkojë një identitet EAP

Një rregullim i mbështetur e bën portën të kërkojë identitetin EAP para se ta dorëzojë vërtetimin te RADIUS. Në seksionin e vërtetimit në distancë të lidhjes, vendosni metodën në eap-radius dhe kërkoni shprehimisht identitetin EAP. Fragmenti më poshtë i takon brenda një blloku ekzistues lidhjeje, jo në një skedar më vete. Konfirmoni lidhjen dhe backend-in e konfigurimit para se të kopjoni sintaksën nga një vendosje tjetër.

remote {
    auth = eap-radius
    eap_id = %any
}

Me këtë, backend-i merr identitetin që klienti ofron në shkëmbimin EAP në vend të adresës IKE. Asgjë tjetër në lidhje nuk ndryshon.

Ose lërini RADIUS të nisë shkëmbimin EAP

Rregullimi tjetër e lë lëvizjen e parë në anën e RADIUS. Shtojca mund të dërgojë një tregues EAP-Start në vend që të presë një përgjigje fillestare identiteti, gjë që lejon serverin të drejtojë shkëmbimin. Ky është konfigurim në nivel shtojce, prandaj ndikon në çdo lidhje që përdor shtojcën.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Zgjidhni një rregullim me operatorin e RADIUS në vend që t'i aktivizoni të dyja dhe të shpresoni. Ato përshkruajnë rrjedha të ndryshme pune, dhe një server që pret të nisë nuk do të përballojë domosdoshmërisht një portë që fillon bisedën. Dokumentacioni i shtojcës përshkruan të dyja, duke përfshirë se cili identitet mbart çdo hap.

Ndiqni një provë në të dy regjistrat

Korreloni një provë të vetme në të dy regjistrat. Vëzhgoni identitetin IKE, pastaj nëse ndodh një shkëmbim EAP-Identity, dhe pastaj cilin emër merr hapi i vërtetimit. Një backend që e refuzon adresën para shkëmbimit EAP mund ta ndalojë procesin para se identiteti i synuar të shihet ndonjëherë.

journalctl -u strongswan -f

Mbani formatin e saktë të emrit të përdoruesit që pret sistemi i identitetit, duke përfshirë parashtesën e domenit. Mos shpikni kurrë një llogari nga një vlerë në formë adrese dhe mos e çaktivizoni kurrë vërtetimin për të përmbushur një rregull politike. Një identitet EAP është një emër i deklaruar, dhe metoda duhet ende ta provojë atë. Shkruani emrin që rezulton në regjistrin e testit, që prova tjetër të nisë nga një gjendje e njohur.

Nëse rrjedha e korrigjuar arrin llogarinë e duhur dhe refuzohet ende, prova tjetër është metoda EAP dhe politika e backend-it, jo identiteti. Përsëritja e një rivendosjeje fjalëkalimi nuk mund të rregullojë një vlerë të zgjedhur në një shtresë protokolli më të hershme.

Artikuj të ngjashëm