EAP sa pamamagitan ng VPN gateway: sino ang nagtatapos ng pamamaraan

Inilalarawan ng mga tiket ng helpdesk ang bigong pag-login sa VPN at patakaran ng RADIUS na humihingi ng mas matibay na pamamaraan na parang isang problema, at hindi ito isa. Ang gateway ay tumatanggap ng kredensyal at ipinapasa, o nagdadala ng usapan ng EAP sa pagitan ng kliyente at ng server ng pagpapatotoo. Alin sa dalawa ang nangyayari ang nagtatakda kung may maayos pa ang pagbabago sa panig ng server. Basahin ang palitan bago i-edit ang grupo ng server.

Dalawang landas ng pagpapatotoo na magkapareho sa log

Sa unang landas kinokolekta ng VPN gateway ang username at password at nagpapadala ng RADIUS Access-Request na may attribute ng password. Inihahambing ito ng server ng pagpapatotoo sa imbakan nito at sumasagot ng tanggapin o tanggihan. Hindi kailanman nagpapatakbo ang kliyente ng pamamaraang EAP, dahil walang humiling nito.

Sa ikalawang landas pinapatakbo ng kliyente at ng server ng pagpapatotoo ang pamamaraang EAP mula simula hanggang dulo, at ipinapasa ng gateway ang mga attribute ng EAP-Message sa pagitan nila. Tinatapos pa rin ng gateway ang panlabas na usapan ng RADIUS, ngunit nasa dalawang dulo ang lohika ng pamamaraan.

Parehong landas ay gumagawa ng linya sa log na nagsasabing nabigo ang pagpapatotoo. Tanging ang pangalawa ang maaaring maapektuhan ng pamamaraang EAP na gusto ng server, at tanging ang una ang naaapektuhan ng paraan ng pagbasa ng gateway sa password. Ang ituring silang mapagpapalit ang dahilan kung bakit ang mga koponan ay gumugugol ng isang araw sa pagbabago ng mga grupo ng server para sa kliyenteng hindi kailanman magsasalita ng PEAP.

Saan talaga tumatakbo ang pamamaraan

RFC 3579 ang nagtatakda ng kaayusan ng pagpasa: dinadala ng NAS ang mga packet ng EAP sa mga attribute ng RADIUS at hindi kailangan ng kod na tukoy sa pamamaraan para sa bawat uri ng EAP. Kaya nga ang gateway ay makapagsuporta ng PEAP at EAP-TLS nang hindi ipinapatupad ang alinman.

Ang gateway na nagpapasa ng password ay hindi nagdadala ng PEAP, kahit tatanggapin ng backend ang PEAP mula sa ibang kliyente. Ang pagpapagana ng PEAP sa patakaran ng server ay hindi nagdaragdag ng pamamaraan sa kliyenteng hindi kailanman nag-alok ng isa.

Ang mga setting ng pagpapatotoo ng PPP ay pag-aari ng serbisyo ng PPP. Hindi nito tahimik na isinasakonpigura muli ang bawat landas ng IPsec o lumang XAuth na gumagamit ng parehong server ng AAA, kaya ang pagbabagong gumagana para sa isang uri ng pag-access ay maaaring iwanang hindi natatamaan ang isa.

Ano ang dapat suportahan ng NAS

Inililipat ng pagpasa ang pangangailangan mula sa kod ng pamamaraan patungo sa suporta ng tagapagdala. Dapat kayang magdala ng EAP sa sariling protokol ng VPN ang gateway, at ang kliyente ng RADIUS dito ay dapat kayang magpadala at tumanggap ng mga attribute ng EAP-Message na may kaugnay na laki.

Para sa IKEv2, ang EAP ay bahagi ng tinukoy na daloy ng pagpapatotoo, at ang mga pagsusuri ng pagkakakilanlan at tiwala ng server ay nagmumula sa daloy na iyon. Ang label ng PEAP na hiniram mula sa deployment ng 802.1X ay hindi awtomatikong lumilipat, dahil iba ang negosasyon sa paligid nito.

May pangangailangan din ang panig ng kliyente. Dapat itong nakakonpigura para sa pamamaraan, nagtitiwala sa sertipiko ng server na ipinapakita ng pamamaraan, at may mga kredensyal na magagamit ng pamamaraan. Ang pamamaraang nakabatay sa sertipiko na walang sertipiko ng kliyente ay nabigo bago pa may makita ang RADIUS, at ito ay problema sa paghahanda hindi sa patakaran ng server.

Basahin ang isang pagtatangka bago baguhin ang patakaran

Kunin ang isang inaprubahang pagtatangka sa gateway at sa server ng pagpapatotoo. Hanapin ang mga attribute ng EAP-Message sa kahilingan ng RADIUS. Ang kanilang presensya ay nagsasabing ginagamit ang landas ng pagpasa; ang kawalan ay tumuturo sa palitan ng kredensyal.

Sa gateway na Linux, ang pagkuha sa port ng RADIUS ay nagpapakita kung aling mga attribute ang nasa kawad:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Pagkatapos ihambing ang punto ng pagtanggi. Ang pagkabigo sa gateway bago ang anumang packet ng RADIUS ay nangangahulugang hindi nagkasundo ang kliyente at gateway sa pamamaraan. Ang pagtanggi ng RADIUS na may mga attribute ng EAP ay nangangahulugang pinatakbo ng mga dulo ang pamamaraan at tinanggihan ng isa ang resulta.

Planuhin ang paglipat bilang isang pagbabago mula simula hanggang dulo

Ang pagpapalit ng pamamaraan ay nangangahulugang sabay na baguhin ang konpigurasyon ng kliyente, suporta ng tagapagdala sa gateway, patakaran ng pamamaraan sa server at imbakan ng kredensyal. Gawin ito sa ganoong pagkakasunod-sunod at panatilihin ang gumaganang landas hanggang mapatunayan ang bago. Ang pagbabago sa panig ng server lamang ay haka-haka at kadalasang sinisira ang mga kliyenteng gumagana. Ihanda ang pagbabago sa isang test na pagkakakilanlan bago hawakan ang grupo.

Itala ang kombinasyong gumagana: protokol ng VPN, tagapagdala ng EAP, pamamaraan ng kapares, pamamaraan ng server, uri ng kredensyal at pagsusuri ng pagkakakilanlan ng server.

Panatilihing hiwalay ang AAA ng administratibong pag-login sa pagpapatotoo ng VPN maliban kung hayagang kasama ang dalawa sa gawain. Ang pagbabagong para sa malayuang pag-access ay hindi dapat mag-alis ng kakayahan mong pamahalaan ang device na nagtatapos nito.