Зашто RADIUS види IP адресу уместо корисничког имена VPN-а

strongSwan може да стави IKE идентитет у RADIUS User-Name пре било какве EAP размене. Одлучите ко тражи идентитет налога, па повежите један покушај.

Клијент Windows IKEv2 се повезује, а RADIUS захтев стиже са адресом тамо где би требало да буде име налога. Још ништа није покварило, и то је збуњујући део: гејтвеј пријављује идентитет који је клијент представио на IKE слоју. Корисничко име које ваш бекенд жели можда долази из засебне EAP размене која се још није догодила. Одлучите ко га тражи пре него што промените налог.

Два идентитета путују у једној вези

У једној вези могу се појавити два имена. IKE идентитет идентификује партнера током подешавања тунела, а eap-radius додатак га у почетку копира у RADIUS User-Name. EAP идентитет је друга вредност, користи се за аутентификацију корисника и можда никада неће бити послат ако га нико не тражи.

Зато RADIUS запис може да показује адресу док налог постоји и лозинка је исправна. Бекенд се пита о погрешном слоју. RADIUS атрибут је само пренос за име које је изабрано.

Замолите гејтвеј да затражи EAP идентитет

Једно подржано поравнање даје гејтвеју да затражи EAP идентитет пре него што преда аутентификацију RADIUS-у. У одељку за удаљену аутентификацију везе поставите метод на eap-radius и изричито затражите EAP идентитет. Фрагмент испод припада унутар постојећег блока везе, а не у сопствену датотеку. Потврдите везу и бекенд конфигурације пре него што копирате синтаксу из другог постављања.

remote {
    auth = eap-radius
    eap_id = %any
}

С тим бекенд прима идентитет који клијент даје у EAP размени уместо IKE адресе. Ништа друго на вези се не мења.

Или пустите RADIUS да започне EAP размену

Друго поравнање оставља први потез на RADIUS страни. Додатак може да пошаље EAP-Start индикацију уместо да чека почетни одговор са идентитетом, што омогућава серверу да води размену. То је конфигурација на нивоу додатка, па утиче на сваку везу која користи додатак.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Изаберите једно поравнање са RADIUS оператером уместо да укључите оба и надате се. Они описују различите токове рада, а сервер који очекује да започне неће нужно поднети гејтвеј који започиње разговор. Документација додатка описује оба, укључујући који идентитет носи сваки корак.

Пратите један покушај кроз оба записа

Повежите један покушај у оба записа. Посматрајте IKE идентитет, затим да ли се EAP-Identity размена дешава, затим које име прима корак аутентификације. Бекенд који одбије адресу пре EAP размене може да заустави процес пре него што се ваш намеравани идентитет уопште види.

journalctl -u strongswan -f

Задржите тачан формат корисничког имена који идентитетски систем очекује, укључујући префикс домена. Никада не измишљајте налог из вредности у облику адресе и никада не искључујте аутентификацију да бисте задовољили правило политике. EAP идентитет је тврђено име, а метод га још мора да докаже. Упишите добијено име у тестни запис како би следећи покушај почео из познатог стања.

Ако исправљени ток дође до правог налога и још је одбијен, следећи доказ су EAP метод и политика бекенда, а не идентитет. Понављање ресетовања лозинке не може да поправи вредност изабрану на ранијем протоколском слоју.

Повезани чланци