eapol_test кроз VPN: да ли је RADIUS размени потребан слој 2?

Затражите лабораторијски порт на свичу да бисте покренули eapol_test и вероватно сте погрешно схватили алат. Peer и RADIUS клијент обоје живе унутар тог једног бинарног фајла, па је једини разговор који напушта машину сама RADIUS размена. Рутирани тунел између тестног хоста и сервера за аутентификацију је цео мрежни захтев. Физичка 802.1X путања је друга ствар коју можда још треба да тестирате, и то није ова.

Зашто име шаље људе у потрагу за портом на свичу

EAPOL је формат оквира који supplicant и свич користе на LAN-у, а алат позајмљује име јер је израстао из тог света. Испоручује се тестни програм који носи peer машину стања и RADIUS клијента у једном процесу, па се две половине 802.1X разговора никада не сретну преко жице. Име је историја, а не захтев за топологијом.

Људи и даље траже порт јер програм почива на понашању аутентификатора, а то звучи као хардвер. Његово лепило репродукује машину стања аутентификатора, па се тест завршава без приступне тачке у просторији; компајлирани бинарни фајл повезује EAP peer из wpa_supplicant са RADIUS клијентом из hostapd. Уклањање свича уклања EAPOL скок, а не логику аутентификације. Оно што остаје је размена клијент-сервер између два IP хоста.

Пратите једну RADIUS размену скок по скок

Пратите један покушај и путања је кратка. Peer унутар eapol_test производи EAP-Response за методу коју сте конфигурисали, а RADIUS клијент у истом процесу га ставља у Access-Request, носећи корисни терет у EAP-Message атрибутима поред Message-Authenticator. Та датаграма је адресирана на сервер на UDP порту 1812 и напушта хост као и сваки други IP пакет, и ту тунел улази у игру. Сервер је оцењује према својој политици и својим модулима метода, а затим одговара са Access-Challenge, Access-Accept или Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Бинарни фајл узима адресу сервера, порт и заједничку тајну из командне линије, а методу и акредитиве из конфигурационог блока у стилу wpa_supplicant. Ништа у том позиву не зависи од суседства слоја 2: -a се достиже рутирањем, и довољан је VPN који га рутира. Ако тунел испусти датаграму, тест пада исто као против недоступног сервера на равном LAN-у.

Бинарни фајл и серверска политика су различите листе

Две независне листе одлучују може ли метода проћи, а њихово мешање губи дан. Прва листа је компајлирана у бинарни фајл: build конфигурација бира које EAP методе постоје, па build без неке методе не може је преговарати без обзира на то шта сервер допушта. Друга листа живи на серверу, где политика каже које од подржаних метода ова класа клијената сме користити. За пролаз је потребан пресек, и ниједна листа не може попунити празнину у другој.

Проверите ту прву листу пре него окривите сервер. Претражите инсталирани бинарни фајл за именом методе или прочитајте build конфигурацију из које је дошао. Ако методе нема, поново билдујте уместо да мењате RADIUS политику; ако постоји а размена и даље пада, проблем се преселио на акредитиве, политику или поверење у сертификат.

Шта пролаз још увек не покрива

Успешно покретање доказује једну методу, за један сет акредитива, против једне RADIUS политике, преко једне мрежне путање. Оно не вежба радио приступне тачке, EAPOL руковање свича, доделу VLAN-а која следи након аутентификације, нити начин на који се VPN концентратор интегрише са истим сервером. Те компоненте никада нису биле на тестираној путањи. Третирајте резултат као ограничен доказ и реците коју границу покрива када га пријављујете.

Корисни запис је оно што су сервер и процес сваки засебно приметили: која метода је преговарана, где се размена зауставила и шта је сервер записао. Држите заједничке тајне и приватне кључеве изван тог записа.

Контролна листа пре него цитирате резултат

Пре него ико третира излаз као одобрење, потврдите четири ствари. Build укључује методу која се тестира, RADIUS крајња тачка и заједничка тајна припадају окружењу које се тестира, серверска политика пропушта овај тестни идентитет, а мрежна путања је исте класе као путања коју користе продукцијски клијенти. Затим наведите шта покретање није дотакло: приступна тачка, свич, VLAN и интеграција концентратора сваки требају свој ред у тестном плану.

Два теста са два власника побеђују једно двосмислено одобрење. eapol_test покретање одговара на питање методе и сервера; приступна услуга одговара на питање спровођења.