EAP кроз VPN пролаз: ко завршава метод

Тикети подршке описују неуспешну VPN пријаву и RADIUS политику која тражи јачу методу као да је реч о истом проблему, а није. Пролаз или прихвата акредитиве и прослеђује их, или води EAP разговор између клијента и сервера за аутентификацију. Шта се од тога дешава одлучује да ли измена на страни сервера уопште може нешто да поправи. Прочитајте размену пре него што уредите групу сервера.

Два пута аутентификације која у дневнику изгледају исто

На првом путу VPN пролаз прикупља корисничко име и лозинку и шаље RADIUS Access-Request са атрибутом лозинке. Сервер за аутентификацију га упоређује са својим складиштем и одговара прихваћено или одбијено. Клијент никада не извршава EAP методу, јер га ништа није на то позвало.

На другом путу клијент и сервер за аутентификацију извршавају EAP методу од почетка до краја, а пролаз прослеђује EAP-Message атрибуте између њих. Пролаз и даље завршава спољни RADIUS разговор, али логика методе живи на два краја.

Оба пута дају ред у дневнику који каже да је аутентификација неуспешна. Само на други може да утиче то коју EAP методу сервер преферира, а само на први то како пролаз чита лозинку. Третирати их као заменљиве значи да тимови потроше дан мењајући групе сервера за клијента који никада није намеравао да говори PEAP.

Где се метода заправо извршава

RFC 3579 дефинише пропусни распоред: NAS носи EAP пакете у RADIUS атрибутима и не треба му код специфичан за методу за сваки EAP тип. Зато пролаз може да подржава PEAP и EAP-TLS без имплементације ниједног.

Пролаз који шаље лозинку не носи PEAP, чак и када би позадина прихватила PEAP од другог клијента. Укључивање PEAP у политици сервера не додаје методу клијенту који је никада није понудио.

Подешавања PPP аутентификације припадају PPP услузи. Она не реконфигуришу тихо сваки IPsec или стари XAuth пут који користи исти AAA сервер, па измена која ради за једну врсту приступа може да остави другу нетакнутом.

Шта NAS мора да подржава

Пропуштање помера захтев са кода методе на подршку носача. Пролаз мора да може да носи EAP преко свог VPN протокола, а RADIUS клијент на њему да шаље и прима EAP-Message атрибуте одговарајућих величина.

За IKEv2, EAP је део дефинисаног тока аутентификације, а провере идентитета и поверења сервера долазе из тог тока. Ознака PEAP позајмљена из 802.1X распореда не преноси се аутоматски, јер су преговори око ње другачији.

И клијентска страна има захтеве. Мора да буде конфигурисана за методу, да верује серверском сертификату који метода представља и да има акредитиве које метода може да користи. Метода заснована на сертификату без клијентског сертификата пада пре него што RADIUS ишта види, а то је проблем обезбеђивања, не политике сервера.

Прочитајте један покушај пре измене политике

Снимите један одобрен покушај на пролазу и на серверу за аутентификацију. Тражите EAP-Message атрибуте у RADIUS захтеву. Њихово присуство говори да се користи пропусни пут; одсуство упућује на размену акредитива.

На Linux пролазу снимак на RADIUS порту показује који су атрибути на жици:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Затим упоредите тачку одбијања. Неуспех на пролазу пре било ког RADIUS пакета значи да се клијент и пролаз нису сложили о методи. RADIUS одбијање са EAP атрибутима значи да су крајеви извршили методу и један од њих је одбио резултат.

Планирајте миграцију као једну измену од почетка до краја

Промена методе значи заједно променити конфигурацију клијента, подршку носача на пролазу, политику методе на серверу и складиште акредитива. Урадите то тим редом и држите радни пут док нови не буде доказан. Измена само на страни сервера је нагађање и обично поквари клијенте који су радили. Припремите измену на једном тест идентитету пре него што дирнете групу.

Запишите комбинацију која ради: VPN протокол, EAP носач, метода партнера, метода сервера, тип акредитива и провера идентитета сервера.

Држите административну AAA пријаву одвојено од VPN аутентификације, осим ако задатак експлицитно не укључује обоје. Измена намењена удаљеном приступу не треба да вам одузме могућност да управљате уређајем који је завршава.