EAP или клијентски сертификати? Одлучивање о IKEv2 аутентикацији

Ваш приступни уређај може доказати сопствени идентитет сертификатом, а ваш путем EAP-а, и та комбинација је уобичајена, а не противречна. Два механизма одговарају на различита питања: да ли је ова крајња тачка она коју очекујем и да ли је овај корисник или уређај дозвољен. Када у профилу видите EAP, то не искључује проверу сервера. Управо читање профила као једног подешавања наводи људе да ресетују погрешан акредитив.

Утврдите који захтев није прошао пре него што дотакнете било који од два објекта. Фаза отказа ће вам то рећи ако је читате по реду.

Два акредитива, два захтева

Сертификат сервера везује име за кључ, а клијент проверу те везе врши према свом складишту поверења. Клијентски сертификат везује идентитет за кључ, а приступни уређај проверава да ли се представљени сертификат ланчано везује за нешто чему верује. EAP преноси размену аутентикације чији садржај зависи од изабраног метода. То су три структуре са различитим животним веком, различитим власницима и различитим начинима отказа.

Лозинка која откључава приватни кључ није лозинка налога, чак и када се оба упита појаве у размаку од неколико секунди. Једна је локална у складишту кључева уређаја, а другу проверава сервер аутентикације иза приступног уређаја.

EAP је контејнер, а не метод

EAP је оквир: приступни уређај и клијент преговарају о методу, а метод одлучује да ли учествују лозинка, токен, тунелирана унутрашња размена или сертификат, како објашњава strongSwan документација за IKEv2. Зато EAP-TLS са стране клијента нимало не личи на EAP-MSCHAPv2, иако се обоје у менију приказује као EAP. Профил који наводи само EAP није вам рекао шта ће се од корисника тражити.

Читајте метод и позадински систем заједно. Позадински систем одређује облик налога, понашање при закључавању и шта ресетовање лозинке заиста мења, а ништа од тога није видљиво у клијентском профилу.

Мешовито распоређивање је нормално

Сертификат сервера плус EAP за корисника облик је који уводи већина приступних уређаја за даљински приступ, јер клијенту даје проверљиву крајњу тачку, а оператеру идентитет по кориснику у централном складишту налога. Постоје и распоређивања са клијентским сертификатима, обично тамо где је идентитет уређаја важнији од лозинке. Оба су легитимна, а грешка је претпоставити да је оно што сте видели прошле недеље оно што је пред вама.

Питајте оператера за документовани метод и облик налога уместо да их закључујете из назива поља у клијенту.

Одлука према фази отказа

Поређајте запажања. Грешка поверења пре било каквог корисничког упита проблем је сертификата сервера и ниједна лозинка то неће поправити. Упит након којег следи одбијање проблем је аутентикације корисника, а сумњивци су метод EAP и позадински систем. Успешна аутентикација након које следи отказ child-SA није ни једно ни друго.

Још су две разлике важне. Клијент који одбија сертификат сервера обично пријављује неслагање имена или непознато издавачко тело, што је питање складишта поверења. Приступни уређај који одбија корисника често бележи метод EAP и категорију разлога, што је питање налога или правила.

Управљање двама моделима

За сертификате је посао издавање, обнова, опозив и уклањање изгубљених уређаја и одвија се према распореду који контролишете. За EAP је посао животни циклус налога, подршка за методе на свакој клијентској платформи и који год други фактор позадински систем захтева. Ниједан модел није апстрактно јефтинији; оптерећују различите тимове. Запишите који ваше распоређивање заиста користи, јер се скрипте за подршку разликују више од конфигурације.

Држите их одвојено у својим белешкама. Истек сертификата производи отказ на одређени датум, закључавање налога производи отказ након промене лозинке, а неслагање метода производи отказ само на једној платформи.

Након што је идентитет прихваћен

Аутентикација су једна врата. Подређена безбедносна асоцијација, селектори саобраћаја, DNS и сопствене дозволе апликације каснија су врата и свака заказује по својим условима. Прихваћен идентитет који ни до чега не стигне није проблем аутентикације.

Забележите метод, коришћени налог или сертификат и фазу која је заказала. Та белешка следећи инцидент претвара у тражење уместо у експеримент.