eapol_test sa ibabaw ng VPN: kailangan ba ng palitan ng RADIUS ang layer 2?

Humingi ng port ng switch sa lab upang mapatakbo mo ang eapol_test — at malamang ay mali ang pagbasa mo sa kasangkapan. Ang peer at ang kliyenteng RADIUS ay parehong naninirahan sa loob ng nag-iisang binary na iyon, kaya ang tanging usapan na lumalabas sa makina ay ang palitan ng RADIUS mismo. Ang naka-rutang tunel sa pagitan ng host ng pagsubok at ng server ng pagpapatunay ang buong pangangailangan sa network. Ang pisikal na landas ng 802.1X ay ibang bagay na maaaring kailangan mo pang subukan, at hindi ito iyon.

Bakit pinapapunta ng pangalan ang mga tao sa paghahanap ng port ng switch

Ang EAPOL ay ang anyo ng frame na ginagamit ng supplicant at ng switch sa isang LAN, at hiniram ng kasangkapan ang pangalan dahil lumaki ito mula sa mundong iyon. Ang ibinibigay ay isang programang pangsubok na nagdadala ng makina ng kalagayan ng peer at ng kliyenteng RADIUS sa isang proseso, kaya hindi kailanman nagtatagpo sa kawad ang dalawang hati ng usapan sa 802.1X. Ang pangalan ay kasaysayan, hindi pangangailangan sa topolohiya.

Hinihingi pa rin ng mga tao ang port dahil nakasalalay ang programa sa pag-uugali ng authenticator, at parang hardware iyon. Ginagawa ng pandikit nito ang makina ng kalagayan ng authenticator, kaya natatapos ang isang pagsubok nang walang anumang access point sa silid; ikinakabit ng nakompilang binary ang EAP peer ng wpa_supplicant sa kliyenteng RADIUS ng hostapd. Ang pag-alis ng switch ay nag-aalis ng paglundag ng EAPOL, hindi ang lohika ng pagpapatunay. Ang natitira ay palitan ng kliyente-server sa pagitan ng dalawang host na IP.

Sundan ang isang palitan ng RADIUS nang hakbang-hakbang

Sundan ang isang pagtatangka at maikli ang landas. Ang peer sa loob ng eapol_test ay gumagawa ng EAP-Response para sa métodong inayos mo, at inilalagay ito ng kliyenteng RADIUS sa parehong proseso sa isang Access-Request, dinadala ang kargamento sa mga katangiang EAP-Message sa tabi ng Message-Authenticator. Ang datagram na iyon ay naka-address sa server sa port na UDP 1812 at lumalabas sa host tulad ng alinmang packet na IP, at dito pumapasok ang tunel. Sinusuri ito ng server laban sa patakaran at mga module ng método nito, pagkatapos ay tumutugon ng Access-Challenge, Access-Accept o Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Kinukuha ng binary ang address ng server, ang port at ang pinagsasaluhang lihim mula sa command line, at ang método at mga kredensyal mula sa bloke ng kompigurasyong nasa istilong wpa_supplicant. Walang anuman sa tawag na iyon ang nakadepende sa pagiging magkapitbahay ng layer 2: -a ay naaabot sa pamamagitan ng pag-ruta, at sapat na ang VPN na nag-ruta nito. Kung ibinagsak ng tunel ang datagram, nabibigo ang pagsubok kung paano rin sa isang server na hindi maabot sa patag na LAN.

Ang binary at ang patakaran ng server ay magkaibang listahan

Dalawang malayang listahan ang nagpapasya kung makakapasa ang isang método, at ang paghaluin sila ay kumakain ng isang araw. Ang unang listahan ay nakompila sa binary: pinipili ng kompigurasyon ng build kung aling mga método ng EAP ang umiiral, kaya ang build na walang isang método ay hindi makipagkasundo tungkol doon anuman ang pahintulutan ng server. Ang ikalawang listahan ay naninirahan sa server, kung saan sinasabi ng patakaran kung alin sa mga sinusuportahang método ang maaaring gamitin ng klase ng kliyenteng ito. Ang pagpasa ay nangangailangan ng interseksyon, at walang listahan ang makapupuno ng puwang sa isa.

Suriin ang unang listahang iyon bago sisihin ang server. Hanapin ang pangalan ng método sa naka-install na binary, o basahin ang kompigurasyon ng build na pinagmulan nito. Kung wala ang método, i-build muli sa halip na i-edit ang patakaran ng RADIUS; kung naroroon ito at nabibigo pa rin ang palitan, lumipat na ang problema sa mga kredensyal, patakaran o tiwala sa sertipiko.

Ano ang hindi pa sakop ng pagpasa

Ang matagumpay na pagtakbo ay nagpapatunay ng isang método, para sa isang set ng kredensyal, laban sa isang patakaran ng RADIUS, sa isang landas ng network. Hindi nito sinasanay ang radyo ng access point, ang paghawak ng EAPOL ng switch, ang pagtatalaga ng VLAN na sumusunod sa pagpapatunay, o ang paraan ng pagsasama ng isang concentrator ng VPN sa parehong server. Ang mga sangkap na iyon ay hindi kailanman naging bahagi ng sinubukang landas. Ituring ang resulta bilang limitadong ebidensya, at sabihin kung aling hangganan ang sakop nito kapag iniuulat mo.

Ang kapaki-pakinabang na talaan ay ang namasid ng server at ng proseso nang isa-isa: aling método ang napagkasunduan, saan huminto ang palitan, at ano ang naitala ng server. Ilayo ang pinagsasaluhang lihim at mga pribadong susi sa talaang iyon.

Checklist bago sipiin ang resulta

Bago ituring ng sinuman ang output bilang pag-apruba, tiyakin ang apat na bagay. Kasama sa build ang métodong sinusubok, ang dulo ng RADIUS at ang pinagsasaluhang lihim ay pag-aari ng kapaligirang sinusubok, tinatanggap ng patakaran ng server ang pagkakakilanlang ito ng pagsubok, at ang landas ng network ay kaparehong klase ng landas na ginagamit ng mga kliyente sa produksyon. Pagkatapos ay pangalanan ang hindi ginalaw ng pagtakbo: access point, switch, VLAN at pagsasama ng concentrator ay nangangailangan ng kani-kanilang linya sa plano ng pagsubok.

Dalawang pagsubok na may dalawang may-ari ay nananalo sa isang malabong pag-apruba. Ang pagtakbo ng eapol_test ay sumasagot sa tanong ng método at server; ang serbisyo ng pag-access ay sumasagot sa tanong ng pagpapatupad.