VPN நுழைவாயில் வழியாக EAP: முறையை யார் முடிக்கிறார்

உதவி மையப் பதிவுகள் தோல்வியடைந்த VPN உள்நுழைவையும் வலுவான முறையைக் கோரும் RADIUS கொள்கையையும் ஒரே பிரச்சினை போல விவரிக்கின்றன, ஆனால் அது அப்படி இல்லை. நுழைவாயில் சான்றுகளை ஏற்று அனுப்புகிறது, அல்லது கிளையண்டுக்கும் அங்கீகார சேவையகத்துக்கும் இடையே EAP உரையாடலை எடுத்துச் செல்கிறது. இவற்றில் எது நடக்கிறது என்பது சேவையகப் பக்க மாற்றம் ஏதாவது சரிசெய்ய முடியுமா என்பதைத் தீர்மானிக்கிறது. சேவையகக் குழுவைத் திருத்தும் முன் பரிமாற்றத்தைப் படியுங்கள்.

பதிவில் ஒரே மாதிரி தெரியும் இரண்டு அங்கீகார பாதைகள்

முதல் பாதையில் VPN நுழைவாயில் பயனர் பெயரையும் கடவுச்சொல்லையும் சேகரித்து, கடவுச்சொல் பண்புடன் RADIUS Access-Request அனுப்புகிறது. அங்கீகார சேவையகம் அதைத் தன் சேமிப்புடன் ஒப்பிட்டு ஏற்கிறது அல்லது மறுக்கிறது என்று பதிலளிக்கிறது. கிளையண்ட் ஒருபோதும் EAP முறையை இயக்காது, ஏனெனில் யாரும் அதைக் கேட்கவில்லை.

இரண்டாவது பாதையில் கிளையண்டும் அங்கீகார சேவையகமும் EAP முறையைத் தொடக்கத்திலிருந்து இறுதிவரை இயக்குகின்றன, நுழைவாயில் அவற்றுக்கிடையே EAP-Message பண்புகளை அனுப்புகிறது. நுழைவாயில் வெளிப்புற RADIUS உரையாடலை இன்னும் முடிக்கிறது, ஆனால் முறையின் தர்க்கம் இரு முனைகளிலும் உள்ளது.

இரு பாதைகளும் பதிவில் அங்கீகாரம் தோல்வியடைந்தது என்ற வரியை உருவாக்குகின்றன. சேவையகம் விரும்பும் EAP முறையால் இரண்டாவதே பாதிக்கப்பட முடியும், நுழைவாயில் கடவுச்சொல்லை எப்படிப் படிக்கிறது என்பதால் முதல் மட்டுமே. அவற்றை மாற்றக்கூடியவையாகக் கருதுவதே, PEAP பேசப்போகாத கிளையண்டுக்காகக் குழுக்கள் ஒரு நாள் முழுவதும் சேவையகக் குழுக்களை மாற்றுவதற்குக் காரணம்.

முறை உண்மையில் எங்கே இயங்குகிறது

RFC 3579 கடத்தல் ஏற்பாட்டை வரையறுக்கிறது: NAS RADIUS பண்புகளில் EAP பொதிகளை எடுத்துச் செல்கிறது, ஒவ்வொரு EAP வகைக்கும் முறை-குறிப்பிட்ட குறியீடு தேவையில்லை. அதனால் நுழைவாயில் PEAP, EAP-TLS இரண்டையும் எதையும் செயல்படுத்தாமல் ஆதரிக்க முடியும்.

கடவுச்சொல்லை அனுப்பும் நுழைவாயில் PEAP-ஐ எடுத்துச் செல்லாது, பின்தளம் வேறு கிளையண்டிடமிருந்து PEAP-ஐ ஏற்றுக்கொண்டாலும். சேவையகக் கொள்கையில் PEAP-ஐ இயக்குவது ஒருபோதும் வழங்காத கிளையண்டுக்கு முறையைச் சேர்க்காது.

PPP அங்கீகார அமைப்புகள் PPP சேவைக்கு உரியவை. அவை ஒரே AAA சேவையகத்தைப் பயன்படுத்தும் ஒவ்வொரு IPsec அல்லது பழைய XAuth பாதையையும் அமைதியாக மறுகட்டமைக்காது, எனவே ஒரு அணுகல் வகைக்கு வேலை செய்யும் மாற்றம் மற்றதைத் தொடாமல் விடலாம்.

NAS எதை ஆதரிக்க வேண்டும்

கடத்தல் தேவையை முறைக் குறியீட்டிலிருந்து கடத்தி ஆதரவுக்கு நகர்த்துகிறது. நுழைவாயில் தன் VPN நெறிமுறையில் EAP-ஐ எடுத்துச் செல்ல முடிய வேண்டும், அதன் மேலுள்ள RADIUS கிளையண்ட் தொடர்புடைய அளவுகளில் EAP-Message பண்புகளை அனுப்பவும் பெறவும் முடிய வேண்டும்.

IKEv2-க்கு EAP வரையறுக்கப்பட்ட அங்கீகார ஓட்டத்தின் பகுதி, சேவையகத்தின் அடையாளம் மற்றும் நம்பிக்கைச் சரிபார்ப்புகள் அந்த ஓட்டத்திலிருந்து வருகின்றன. 802.1X பயன்பாட்டிலிருந்து கடன் வாங்கிய PEAP லேபிள் தானாகக் கடக்காது, ஏனெனில் அதைச் சுற்றியுள்ள பேச்சுவார்த்தை வேறுபட்டது.

கிளையண்ட் பக்கத்திலும் தேவைகள் உள்ளன. அது முறைக்கு அமைக்கப்பட்டிருக்க வேண்டும், முறை வழங்கும் சேவையகச் சான்றிதழை நம்ப வேண்டும், முறை பயன்படுத்தக்கூடிய சான்றுகள் இருக்க வேண்டும். கிளையண்ட் சான்றிதழ் இல்லாத சான்றிதழ் அடிப்படையிலான முறை RADIUS எதையும் பார்ப்பதற்கு முன்பே தோல்வியடைகிறது, இது சேவையகக் கொள்கை அல்ல, வழங்கல் சிக்கல்.

கொள்கையை மாற்றும் முன் ஒரு முயற்சியைப் படியுங்கள்

நுழைவாயிலிலும் அங்கீகார சேவையகத்திலும் ஒரு அனுமதிக்கப்பட்ட முயற்சியைப் பிடியுங்கள். RADIUS கோரிக்கையில் EAP-Message பண்புகளைத் தேடுங்கள். அவற்றின் இருப்பு கடத்தல் பாதை பயன்பாட்டில் இருப்பதைக் கூறுகிறது; இல்லாமை சான்று பரிமாற்றத்தைச் சுட்டுகிறது.

Linux நுழைவாயிலில் RADIUS துறையில் பிடிப்பு கம்பியில் எந்தப் பண்புகள் உள்ளன என்பதைக் காட்டுகிறது:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

பின்னர் மறுப்புப் புள்ளியை ஒப்பிடுங்கள். எந்த RADIUS பொதிக்கும் முன் நுழைவாயிலில் தோல்வி என்றால் கிளையண்டும் நுழைவாயிலும் முறையில் உடன்படவில்லை. EAP பண்புகளைக் கொண்ட RADIUS மறுப்பு என்றால் இரு முனைகளும் முறையை இயக்கி அவற்றில் ஒன்று முடிவை மறுத்தது.

இடமாற்றத்தைத் தொடக்கத்திலிருந்து இறுதிவரை ஒரே மாற்றமாகத் திட்டமிடுங்கள்

முறையை மாற்றுவது என்பது கிளையண்ட் கட்டமைப்பு, நுழைவாயிலின் கடத்தி ஆதரவு, சேவையகத்தின் முறைக் கொள்கை, சான்றுச் சேமிப்பு ஆகியவற்றை ஒன்றாக மாற்றுவது. அந்த வரிசையில் செய்து, புதியது நிரூபிக்கப்படும் வரை இயங்கும் பாதையை வைத்திருங்கள். சேவையகப் பக்கம் மட்டும் செய்யும் மாற்றம் ஓர் ஊகம், அது வழக்கமாக வேலை செய்த கிளையண்ட்களை உடைக்கிறது. குழுவைத் தொடும் முன் ஒரு சோதனை அடையாளத்தில் மாற்றத்தைத் தயார் செய்யுங்கள்.

வேலை செய்யும் கலவையைப் பதிவு செய்யுங்கள்: VPN நெறிமுறை, EAP கடத்தி, இணை முறை, சேவையக முறை, சான்று வகை, சேவையக அடையாளச் சரிபார்ப்பு.

நிர்வாக உள்நுழைவு AAA-ஐ VPN அங்கீகாரத்திலிருந்து தனியாக வைத்திருங்கள், பணி வெளிப்படையாக இரண்டையும் சேர்க்காத வரை. தொலை அணுகலுக்கான மாற்றம் அதை முடிக்கும் சாதனத்தை நிர்வகிக்கும் திறனை உங்களிடமிருந்து எடுக்கக் கூடாது.