EAP mı istemci sertifikaları mı? IKEv2 kimlik doğrulamasına karar vermek

Ağ geçidiniz kendi kimliğini bir sertifikayla kanıtlarken sizinkini EAP üzerinden kanıtlayabilir ve bu bileşim çelişkili değil yaygındır. İki mekanizma farklı sorulara yanıt verir: bu uç nokta beklediğim nokta mı ve bu kullanıcı ya da cihaz izinli mi. Bir profilde EAP görmek sunucu doğrulamasını kapatmaz. Profili tek bir ayar olarak okumak, insanları yanlış kimlik bilgisini sıfırlamaya gönderen şeydir.

İki nesneden herhangi birine dokunmadan önce hangi iddianın başarısız olduğunu belirleyin. Başarısızlık aşaması bunu size söyler, sırayla okursanız.

İki kimlik bilgisi, iki iddia

Sunucu sertifikası bir adı bir anahtara bağlar ve istemci bu bağı kendi güven deposuna karşı denetler. İstemci sertifikası bir kimliği bir anahtara bağlar ve ağ geçidi sunulan sertifikanın güvendiği bir şeye zincirlendiğini denetler. EAP, içeriği seçilen yönteme bağlı olan bir kimlik doğrulama alışverişi taşır. Bunlar farklı ömürlere, farklı sahiplere ve farklı başarısızlık biçimlerine sahip üç yapıdır.

Özel anahtarı açan parola ifadesi bir hesap parolası değildir, iki istem birbirinden saniyeler içinde görünse bile. Biri cihazın anahtar deposunda yereldir, diğeri ağ geçidinin arkasındaki bir kimlik doğrulama sunucusu tarafından doğrulanır.

EAP bir kaptır, bir yöntem değildir

EAP bir çerçevedir: ağ geçidi ve istemci bir yöntem üzerinde anlaşır ve yöntem bir parolanın, belirtecin, tünellenmiş iç alışverişin veya sertifikanın söz konusu olup olmadığına karar verir, strongSwan’ın IKEv2 belgeleri bunu ortaya koyduğu gibi. Bu yüzden EAP-TLS istemci tarafından EAP-MSCHAPv2’ye hiç benzemez, ikisi de menüde EAP olarak görünse bile. Yalnızca EAP diyen bir profil, kullanıcıya ne sorulacağını size söylememiştir.

Yöntemi ve backend’i birlikte okuyun. Backend hesap biçimini, kilitleme davranışını ve parola sıfırlamanın gerçekte neyi değiştirdiğini belirler ve bunların hiçbiri istemci profilinde görünmez.

Karma kurulum normaldir

Kullanıcı için sunucu sertifikası artı EAP, çoğu uzaktan erişim ağ geçidinin kurduğu biçimdir, çünkü istemciye doğrulanabilir bir uç nokta ve operatöre merkezi bir hesap deposunda kullanıcı başına kimlik verir. İstemci sertifikalı kurulumlar da vardır, genellikle cihaz kimliğinin paroladan daha önemli olduğu yerlerde. İkisi de meşrudur ve hata, geçen hafta gördüğünüzün önünüzdeki olduğunu varsaymaktır.

Yöntemi ve hesap biçimini bir istemcideki alan adlarından çıkarmak yerine operatöre belgelenmiş hâlini sorun.

Başarısızlık aşamasından karar vermek

Gözlemleri sıraya koyun. Herhangi bir kullanıcı isteminden önceki güven hatası bir sunucu sertifikası sorunudur ve hiçbir parola onu düzeltmez. İstemden sonra gelen reddetme bir kullanıcı kimlik doğrulama sorunudur, şüpheliler EAP yöntemi ve backend’dir. Başarılı kimlik doğrulamadan sonra gelen child-SA hatası ikisi de değildir.

İki ayrım daha önemlidir. Sunucu sertifikasını reddeden istemci genellikle ad uyuşmazlığı veya bilinmeyen bir yetkili bildirir, bu bir güven deposu sorunudur. Kullanıcıyı reddeden ağ geçidi çoğu zaman EAP yöntemini ve bir neden kategorisini kaydeder, bu bir hesap veya ilke sorunudur.

İki modeli işletmek

Sertifikalarda iş; düzenleme, yenileme, iptal ve kayıp cihazların kaldırılmasıdır ve sizin denetlediğiniz bir takvime göre gerçekleşir. EAP’de iş; hesap yaşam döngüsü, her istemci platformunda yöntem desteği ve backend’in gerektirdiği herhangi bir ikinci faktördür. Hiçbir model soyut olarak daha ucuz değildir; farklı ekipleri yükler. Kurulumunuzun gerçekte hangisini kullandığını yazın, çünkü destek betikleri yapılandırmadan daha fazla farklılaşır.

Notlarınızda ikisini ayrı tutun. Sertifika süresinin dolması belirli bir tarihte hata üretir, hesap kilidi parola değişikliğinden sonra hata üretir ve yöntem uyuşmazlığı yalnızca tek bir platformda hata üretir.

Kimlik kabul edildikten sonra

Kimlik doğrulama tek bir kapıdır. Child güvenlik ilişkilendirmesi, trafik seçicileri, DNS ve uygulamanın kendi izinleri sonraki kapılardır ve her biri kendi koşullarında başarısız olur. Hiçbir yere ulaşmayan kabul edilmiş bir kimlik, kimlik doğrulama sorunu değildir.

Yöntemi, kullanılan hesabı veya sertifikayı ve başarısız olan aşamayı kaydedin. Bu not, sonraki olayı bir deney yerine bir aramaya dönüştürür.