eapol_test ผ่าน VPN: การแลกเปลี่ยน RADIUS ต้องใช้เลเยอร์ 2 หรือไม่

ถ้าคุณขอพอร์ตสวิตช์ในแล็บเพื่อรัน eapol_test คุณอาจอ่านเครื่องมือนี้ผิดไปแล้ว peer และไคลเอนต์ RADIUS อาศัยอยู่ในไบนารีเดียวเดียวกัน ดังนั้นบทสนทนาเดียวที่ออกจากเครื่องคือการแลกเปลี่ยน RADIUS เอง อุโมงค์ที่กำหนดเส้นทางระหว่างโฮสต์ทดสอบกับเซิร์ฟเวอร์พิสูจน์ตัวตนคือข้อกำหนดเครือข่ายทั้งหมด เส้นทาง 802.1X ทางกายภาพเป็นอีกสิ่งหนึ่งที่คุณอาจยังต้องทดสอบ และไม่ใช่สิ่งนี้

ทำไมชื่อจึงทำให้คนออกไปหาพอร์ตสวิตช์

EAPOL คือรูปแบบเฟรมที่ supplicant และสวิตช์ใช้บน LAN และเครื่องมือนี้ยืมชื่อมาเพราะมันเติบโตมาจากโลกนั้น สิ่งที่จัดส่งคือโปรแกรมทดสอบที่บรรจุเครื่องสถานะของ peer และไคลเอนต์ RADIUS ไว้ในโปรเซสเดียว สองครึ่งของการสนทนา 802.1X จึงไม่เคยพบกันบนสาย ชื่อคือประวัติศาสตร์ ไม่ใช่ข้อกำหนดทางโครงสร้างเครือข่าย

ผู้คนยังคงขอพอร์ตเพราะโปรแกรมอาศัยพฤติกรรมของผู้พิสูจน์ตัวตน และนั่นฟังดูเหมือนฮาร์ดแวร์ กาวของมันจำลองเครื่องสถานะของผู้พิสูจน์ตัวตน การทดสอบจึงเสร็จได้โดยไม่มีจุดเชื่อมต่อในห้อง ไบนารีที่คอมไพล์แล้วเชื่อม peer ของ EAP ใน wpa_supplicant กับไคลเอนต์ RADIUS ของ hostapd การถอดสวิตช์ออกคือการถอดการกระโดด EAPOL ไม่ใช่ตรรกะการพิสูจน์ตัวตน สิ่งที่เหลือคือการแลกเปลี่ยนระหว่างไคลเอนต์กับเซิร์ฟเวอร์ผ่านสองโฮสต์ IP

ติดตามการแลกเปลี่ยน RADIUS หนึ่งครั้งทีละกระโดด

ติดตามความพยายามหนึ่งครั้งแล้วเส้นทางจะสั้น peer ที่อยู่ภายใน eapol_test สร้าง EAP-Response สำหรับเมธอดที่คุณกำหนดค่า และไคลเอนต์ RADIUS ในโปรเซสเดียวกันก็ใส่ลงใน Access-Request โดยบรรทุกเพย์โหลดไว้ในแอตทริบิวต์ EAP-Message ข้าง Message-Authenticator ดาตาแกรมนั้นถูกส่งถึงเซิร์ฟเวอร์ที่พอร์ต UDP 1812 และออกจากโฮสต์เหมือนแพ็กเก็ต IP อื่น ๆ และนี่คือจุดที่อุโมงค์เข้ามา เซิร์ฟเวอร์ประเมินตามนโยบายและโมดูลเมธอดของตน แล้วตอบกลับด้วย Access-Challenge, Access-Accept หรือ Access-Reject

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

ไบนารีรับที่อยู่เซิร์ฟเวอร์ พอร์ต และความลับร่วมจากบรรทัดคำสั่ง และรับเมธอดกับข้อมูลรับรองจากบล็อกการกำหนดค่าแบบ wpa_supplicant ไม่มีสิ่งใดในการเรียกนั้นขึ้นกับความใกล้ชิดของเลเยอร์ 2: -a เข้าถึงได้ด้วยการกำหนดเส้นทาง และ VPN ที่กำหนดเส้นทางให้ก็เพียงพอ หากอุโมงค์ทิ้งดาตาแกรม การทดสอบก็ล้มเหลวเหมือนกับเซิร์ฟเวอร์ที่เข้าถึงไม่ได้บน LAN แบนราบ

ไบนารีกับนโยบายเซิร์ฟเวอร์เป็นรายการคนละชุด

สองรายการที่เป็นอิสระต่อกันตัดสินว่าเมธอดจะผ่านได้หรือไม่ และการสับสนระหว่างสองรายการนี้ทำให้เสียเวลาหนึ่งวัน รายการแรกถูกคอมไพล์เข้าไปในไบนารี การกำหนดค่าการบิลด์เลือกว่าจะมีเมธอด EAP ใดบ้าง การบิลด์ที่ไม่มีเมธอดจึงเจรจาเรื่องนั้นไม่ได้ไม่ว่าเซิร์ฟเวอร์จะอนุญาตอะไร รายการที่สองอาศัยอยู่บนเซิร์ฟเวอร์ ซึ่งนโยบายระบุว่าคลาสไคลเอนต์นี้ใช้เมธอดที่รองรับตัวใดได้บ้าง การผ่านต้องมีส่วนตัด และไม่มีรายการใดเติมช่องว่างในอีกรายการได้

ตรวจสอบรายการแรกนั้นก่อนโทษเซิร์ฟเวอร์ ค้นหาชื่อเมธอดในไบนารีที่ติดตั้งไว้ หรืออ่านการกำหนดค่าการบิลด์ที่มันมาจาก หากไม่มีเมธอด ให้บิลด์ใหม่แทนการแก้ไขนโยบาย RADIUS หากมีเมธอดแต่การแลกเปลี่ยนยังล้มเหลว ปัญหาก็ย้ายไปที่ข้อมูลรับรอง นโยบาย หรือความเชื่อถือในใบรับรอง

สิ่งที่การผ่านยังไม่ครอบคลุม

การรันที่สำเร็จพิสูจน์เมธอดหนึ่ง สำหรับชุดข้อมูลรับรองหนึ่งชุด ต่อนโยบาย RADIUS หนึ่งชุด บนเส้นทางเครือข่ายหนึ่งเส้น มันไม่ได้ฝึกวิทยุของจุดเชื่อมต่อ การจัดการ EAPOL ของสวิตช์ การกำหนด VLAN ที่ตามหลังการพิสูจน์ตัวตน หรือ วิธีที่คอนเซนเทรเตอร์ VPN รวมเข้ากับเซิร์ฟเวอร์เดียวกัน องค์ประกอบเหล่านั้นไม่เคยอยู่บนเส้นทางที่ทดสอบ มองผลลัพธ์เป็นหลักฐานที่มีขอบเขต และระบุว่าครอบคลุมขอบเขตใดเมื่อรายงาน

บันทึกที่มีประโยชน์คือสิ่งที่เซิร์ฟเวอร์และโปรเซสต่างสังเกตเห็น: เมธอดใดถูกเจรจา การแลกเปลี่ยนหยุดที่ใด และเซิร์ฟเวอร์บันทึกอะไรไว้ เก็บความลับร่วมและกุญแจส่วนตัวไว้นอกบันทึกนั้น

รายการตรวจสอบก่อนอ้างอิงผลลัพธ์

ก่อนที่ใครจะถือว่าเอาต์พุตเป็นการอนุมัติ ให้ยืนยันสี่สิ่ง บิลด์มีเมธอดที่ทดสอบอยู่ ปลายทาง RADIUS และความลับร่วมเป็นของสภาพแวดล้อมที่ทดสอบ นโยบายเซิร์ฟเวอร์ยอมรับตัวตนการทดสอบนี้ และเส้นทางเครือข่ายเป็นคลาสเดียวกับที่ไคลเอนต์โปรดักชันใช้ จากนั้นระบุสิ่งที่การรันไม่ได้แตะต้อง: จุดเชื่อมต่อ สวิตช์ VLAN และการรวมคอนเซนเทรเตอร์ ต่างต้องมีบรรทัดของตนเองในแผนการทดสอบ

การทดสอบสองครั้งที่มีเจ้าของสองคนชนะการอนุมัติที่คลุมเครือหนึ่งครั้ง การรัน eapol_test ตอบคำถามเรื่องเมธอดและเซิร์ฟเวอร์ บริการการเข้าถึงตอบคำถามเรื่องการบังคับใช้