VPN ağ geçidi üzerinden EAP: yöntemi kim sonlandırır

Destek biletleri başarısız bir VPN oturum açmasını ve daha güçlü bir yöntem isteyen RADIUS ilkesini aynı sorunmuş gibi anlatır, oysa değildir. Ağ geçidi ya kimlik bilgilerini kabul edip iletir ya da istemci ile kimlik doğrulama sunucusu arasında bir EAP konuşması taşır. Bunlardan hangisinin olduğu, sunucu tarafındaki bir değişikliğin herhangi bir şeyi düzeltip düzeltemeyeceğini belirler. Sunucu grubunu düzenlemeden önce alışverişi okuyun.

Günlükte aynı görünen iki kimlik doğrulama yolu

İlk yolda VPN ağ geçidi bir kullanıcı adı ve parola toplar ve parola özniteliği taşıyan bir RADIUS Access-Request gönderir. Kimlik doğrulama sunucusu bunu kendi deposuyla karşılaştırır ve kabul veya ret diye yanıtlar. İstemci hiçbir zaman bir EAP yöntemi çalıştırmaz, çünkü hiçbir şey bunu istememiştir.

İkinci yolda istemci ve kimlik doğrulama sunucusu EAP yöntemini baştan sona çalıştırır ve ağ geçidi aralarında EAP-Message özniteliklerini iletir. Ağ geçidi dış RADIUS konuşmasını yine sonlandırır, ancak yöntemin mantığı iki uçta yaşar.

Her iki yol da günlükte kimlik doğrulamanın başarısız olduğunu söyleyen bir satır üretir. Sunucunun tercih ettiği EAP yönteminden yalnızca ikincisi etkilenebilir, ağ geçidinin parolayı nasıl okuduğundan yalnızca birincisi. Onları birbirinin yerine konabilir saymak, ekiplerin hiç PEAP konuşmayacak bir istemci için bütün gün sunucu gruplarını değiştirmesinin nedenidir.

Yöntem gerçekte nerede çalışır

RFC 3579 geçiş düzenini tanımlar: NAS, EAP paketlerini RADIUS özniteliklerinde taşır ve her EAP türü için yönteme özgü kod gerekmez. Bu yüzden bir ağ geçidi PEAP ve EAP-TLS'yi hiçbirini uygulamadan destekleyebilir.

Parola gönderen bir ağ geçidi PEAP taşımaz, arka uç başka bir istemciden PEAP kabul etse bile. Sunucu ilkesinde PEAP'i etkinleştirmek, hiç teklif etmemiş bir istemciye yöntem eklemez.

PPP kimlik doğrulama ayarları PPP hizmetine aittir. Aynı AAA sunucusunu kullanan her IPsec veya eski XAuth yolunu sessizce yeniden yapılandırmazlar, bu yüzden bir erişim türü için çalışan bir değişiklik diğerini dokunulmamış bırakabilir.

NAS neyi desteklemeli

Geçiş, gereksinimi yöntem kodundan taşıyıcı desteğine kaydırır. Ağ geçidi EAP'yi kendi VPN protokolü üzerinden taşıyabilmeli, üzerindeki RADIUS istemcisi de ilgili boyutlardaki EAP-Message özniteliklerini gönderip alabilmelidir.

IKEv2 için EAP tanımlı bir kimlik doğrulama akışının parçasıdır ve sunucunun kimlik ile güven denetimleri o akıştan gelir. 802.1X dağıtımından ödünç alınan PEAP etiketi otomatik olarak taşınmaz, çünkü çevresindeki pazarlık farklıdır.

İstemci tarafının da gereksinimleri vardır. Yöntem için yapılandırılmış olmalı, yöntemin sunduğu sunucu sertifikasına güvenmeli ve yöntemin kullanabileceği kimlik bilgilerine sahip olmalıdır. İstemci sertifikası olmayan sertifika tabanlı bir yöntem, RADIUS herhangi bir şey görmeden başarısız olur ve bu bir hazırlama sorunudur, sunucu ilkesi sorunu değildir.

İlkeyi değiştirmeden önce bir denemeyi okuyun

Ağ geçidinde ve kimlik doğrulama sunucusunda onaylanmış tek bir denemeyi yakalayın. RADIUS isteğinde EAP-Message özniteliklerini arayın. Varlıkları geçiş yolunun kullanıldığını söyler; yoklukları kimlik bilgisi alışverişine işaret eder.

Bir Linux ağ geçidinde RADIUS bağlantı noktasındaki yakalama, hatta hangi özniteliklerin olduğunu gösterir:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Ardından ret noktasını karşılaştırın. Ağ geçidinde herhangi bir RADIUS paketinden önceki bir hata, istemci ile ağ geçidinin yöntem konusunda anlaşamadığı anlamına gelir. EAP öznitelikleri taşıyan bir RADIUS reddi, uçların yöntemi çalıştırdığı ve birinin sonucu reddettiği anlamına gelir.

Geçişi baştan sona tek bir değişiklik olarak planlayın

Yöntemi değiştirmek, istemci yapılandırmasını, ağ geçidinin taşıyıcı desteğini, sunucunun yöntem ilkesini ve kimlik bilgisi deposunu birlikte değiştirmek demektir. Bunu bu sırayla yapın ve yenisi kanıtlanana kadar çalışan bir yol tutun. Yalnızca sunucu tarafındaki bir değişiklik bir tahmindir ve genellikle çalışan istemcileri bozar. Gruba dokunmadan önce değişikliği tek bir test kimliğinde hazırlayın.

Çalışan bileşimi kaydedin: VPN protokolü, EAP taşıyıcısı, karşı taraf yöntemi, sunucu yöntemi, kimlik bilgisi türü ve sunucu kimliği denetimi.

Yönetici oturum açma AAA'sını VPN kimlik doğrulamasından ayrı tutun, görev açıkça ikisini de içermiyorsa. Uzak erişim için düşünülen bir değişiklik, onu sonlandıran cihazı yönetme yeteneğinizi elinizden almamalıdır.