EAP kupitia lango la VPN: nani anamaliza mbinu

Tiketi za msaada zinaeleza kuingia kwa VPN kushindikana na sera ya RADIUS inayodai mbinu yenye nguvu zaidi kana kwamba ni tatizo moja, na sivyo. Lango ama linapokea vitambulisho na kuvisambaza, au linaendesha mazungumzo ya EAP kati ya mteja na seva ya uthibitishaji. Kipi kati ya hivyo kinatokea huamua kama mabadiliko upande wa seva yanaweza kurekebisha kitu. Soma mabadilishano kabla ya kuhariri kikundi cha seva.

Njia mbili za uthibitishaji zinazofanana kwenye kumbukumbu

Kwenye njia ya kwanza lango la VPN hukusanya jina la mtumiaji na nenosiri kisha hutuma RADIUS Access-Request yenye sifa ya nenosiri. Seva ya uthibitishaji hulinganisha na hifadhi yake na hujibu kubali au kataa. Mteja haendeshwi mbinu ya EAP kamwe, kwa sababu hakuna kilichomwomba hivyo.

Kwenye njia ya pili mteja na seva ya uthibitishaji huendesha mbinu ya EAP kutoka mwanzo hadi mwisho, na lango husambaza sifa za EAP-Message kati yao. Lango bado linamaliza mazungumzo ya nje ya RADIUS, lakini mantiki ya mbinu iko kwenye ncha mbili.

Njia zote mbili hutoa mstari kwenye kumbukumbu unaosema uthibitishaji umeshindikana. Ni ya pili pekee inayoweza kuathiriwa na mbinu ya EAP ambayo seva inapendelea, na ni ya kwanza pekee inayoweza kuathiriwa na jinsi lango linavyosoma nenosiri. Kuzichukua kama zinazoweza kubadilishana ndiyo sababu timu hutumia siku nzima kubadilisha vikundi vya seva kwa mteja ambaye hakuwahi kuzungumza PEAP.

Mbinu inafanya kazi wapi kwa kweli

RFC 3579 inafafanua mpangilio wa upitishaji: NAS hubeba pakiti za EAP katika sifa za RADIUS na haihitaji msimbo maalum wa mbinu kwa kila aina ya EAP. Ndiyo sababu lango linaweza kusaidia PEAP na EAP-TLS bila kutekeleza mojawapo.

Lango linalowasilisha nenosiri halibebi PEAP, hata kama backend ingekubali PEAP kutoka kwa mteja mwingine. Kuwasha PEAP kwenye sera ya seva hakuongezi mbinu kwa mteja ambaye hakuwahi kutoa moja.

Mipangilio ya uthibitishaji wa PPP ni ya huduma ya PPP. Haibadilishi kwa kimya kila njia ya IPsec au XAuth ya zamani inayotumia seva ile ile ya AAA, kwa hivyo mabadiliko yanayofanya kazi kwa aina moja ya ufikiaji yanaweza kuacha nyingine bila kuguswa.

NAS inapaswa kusaidia nini

Upitishaji huhamisha sharti kutoka msimbo wa mbinu hadi msaada wa mbebaji. Lango lazima liweze kubeba EAP kupitia itifaki yake ya VPN, na mteja wa RADIUS juu yake lazima aweze kutuma na kupokea sifa za EAP-Message za ukubwa husika.

Kwa IKEv2, EAP ni sehemu ya mtiririko maalum wa uthibitishaji, na ukaguzi wa utambulisho na uaminifu wa seva hutoka kwenye mtiririko huo. Lebo la PEAP lililoazimwa kutoka usanidi wa 802.1X hali hampishwi kiotomatiki, kwa sababu majadiliano yanayolizunguka ni tofauti.

Upande wa mteja pia una mahitaji. Lazima uwe umesanidiwa kwa mbinu hiyo, uamini cheti cha seva ambacho mbinu inawasilisha, na uwe na vitambulisho ambavyo mbinu inaweza kutumia. Mbinu inayotegemea vyeti bila cheti cha mteja hushindikana kabla RADIUS kuona kitu, na hilo ni tatizo la uandaaji si la sera ya seva.

Soma jaribio moja kabla ya kubadilisha sera

Nasa jaribio moja lililoidhinishwa kwenye lango na kwenye seva ya uthibitishaji. Tafuta sifa za EAP-Message kwenye ombi la RADIUS. Uwepo wake unaonyesha kuwa njia ya upitishaji inatumika; ukosefu wake unaonyesha mabadilishano ya vitambulisho.

Kwenye lango la Linux, kunasa kwenye lango la RADIUS kunaonyesha ni sifa zipi ziko kwenye waya:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Kisha linganisha hatua ya kukataa. Kushindikana kwenye lango kabla ya pakiti yoyote ya RADIUS kunamaanisha mteja na lango hawakukubaliana kuhusu mbinu. Kukataa kwa RADIUS kunakobeba sifa za EAP kunamaanisha ncha ziliendesha mbinu na moja yao ilikataa matokeo.

Panga uhamishaji kama mabadiliko moja kutoka mwanzo hadi mwisho

Kubadilisha mbinu kunamaanisha kubadilisha pamoja usanidi wa mteja, msaada wa mbebaji kwenye lango, sera ya mbinu kwenye seva na hifadhi ya vitambulisho. Fanya hivyo kwa mpangilio huo na uweke njia inayofanya kazi hadi ile mpya ithibitishwe. Mabadiliko upande wa seva pekee ni kukisia na kwa kawaida huvunja wateja waliokuwa wakifanya kazi. Andaa mabadiliko kwenye utambulisho mmoja wa majaribio kabla ya kugusa kikundi.

Andika mchanganyiko unaofanya kazi: itifaki ya VPN, mbebaji wa EAP, mbinu ya mwenzake, mbinu ya seva, aina ya vitambulisho na ukaguzi wa utambulisho wa seva.

Tenganisha AAA ya kuingia kwa utawala na uthibitishaji wa VPN, isipokuwa kazi inajumuisha zote mbili kwa uwazi. Mabadiliko yaliyokusudiwa kwa ufikiaji wa mbali hayapaswi kukuondolea uwezo wa kusimamia kifaa kinachoyamaliza.