VPN üzerinden eapol_test: RADIUS alışverişi katman 2'ye ihtiyaç duyar mı?

Laboratuvar anahtar portu isteyip eapol_test çalıştırmayı düşünüyorsanız, aracı büyük olasılıkla yanlış okumuşsunuzdur. Eş ve RADIUS istemcisi ikisi de o tek ikili dosyanın içinde yaşar, bu yüzden makineden çıkan tek konuşma RADIUS alışverişinin kendisidir. Test ana bilgisayarı ile kimlik doğrulama sunucusu arasındaki yönlendirilmiş tünel tüm ağ gereksinimidir. Fiziksel 802.1X yolu hâlâ test etmeniz gerekebilecek başka bir şeydir ve bu o değildir.

Adı insanları neden anahtar portu aramaya gönderiyor

EAPOL, bir supplicant ile bir anahtarın LAN'da kullandığı çerçeve biçimidir ve araç adı o dünyadan büyüdüğü için ödünç alır. Teslim edilen şey, eşin durum makinesini ve RADIUS istemcisini tek bir süreçte taşıyan bir test programıdır, bu yüzden bir 802.1X konuşmasının iki yarısı hiçbir zaman kablo üzerinde buluşmaz. Ad tarihtir, topoloji gereksinimi değildir.

İnsanlar portu hâlâ ister çünkü program bir doğrulayıcının davranışına dayanır ve bu kulağa donanım gibi gelir. Yapıştırıcısı doğrulayıcının durum makinesini yeniden üretir, bu yüzden bir test odada hiç erişim noktası olmadan tamamlanır; derlenmiş ikili dosya wpa_supplicant'ın EAP eşini hostapd'nin RADIUS istemcisine bağlar. Anahtarı kaldırmak EAPOL sıçramasını kaldırır, kimlik doğrulama mantığını değil. Geriye kalan, iki IP ana bilgisayarı arasındaki istemci-sunucu alışverişidir.

Bir RADIUS alışverişini adım adım izleyin

Tek bir denemeyi izleyin ve yol kısadır. eapol_test içindeki eş, yapılandırdığınız yöntem için bir EAP-Response üretir ve aynı süreçteki RADIUS istemcisi bunu bir Access-Request'e koyar, yükü Message-Authenticator'ın yanındaki EAP-Message özniteliklerinde taşır. Bu datagram UDP 1812 portunda sunucuya adreslenir ve ana bilgisayarı herhangi bir IP paketi gibi terk eder, tünel de burada devreye girer. Sunucu bunu kendi ilkesine ve yöntem modüllerine göre değerlendirir, ardından Access-Challenge, Access-Accept veya Access-Reject ile yanıtlar.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

İkili dosya sunucu adresini, portu ve paylaşılan sırrı komut satırından, yöntemi ve kimlik bilgilerini ise wpa_supplicant tarzı bir yapılandırma bloğundan alır. Bu çağrıda hiçbir şey katman 2 komşuluğuna bağlı değildir: -a yönlendirme ile ulaşılır ve onu yönlendiren bir VPN yeterlidir. Tünel datagramı düşürürse test, düz bir LAN'da erişilemeyen bir sunucuya karşı olduğu gibi başarısız olur.

İkili dosya ve sunucu ilkesi farklı listelerdir

Bir yöntemin geçip geçemeyeceğine iki bağımsız liste karar verir ve bunları karıştırmak bir güne mal olur. İlk liste ikili dosyaya derlenmiştir: derleme yapılandırması hangi EAP yöntemlerinin var olduğunu seçer, bu yüzden bir yöntemi olmayan derleme, sunucu neye izin verirse versin onu müzakere edemez. İkinci liste sunucuda yaşar; orada ilke, desteklenen yöntemlerden hangilerini bu istemci sınıfının kullanabileceğini söyler. Geçmek için kesişim gerekir ve hiçbir liste diğerindeki boşluğu dolduramaz.

Sunucuyu suçlamadan önce o ilk listeyi kontrol edin. Kurulu ikili dosyada yöntemin adını arayın ya da geldiği derleme yapılandırmasını okuyun. Yöntem yoksa RADIUS ilkesini düzenlemek yerine yeniden derleyin; varsa ve alışveriş hâlâ başarısızsa sorun kimlik bilgilerine, ilkeye veya sertifika güvenine taşınmıştır.

Bir geçişin hâlâ kapsamadığı şey

Başarılı bir çalıştırma bir yöntemi kanıtlar; bir kimlik bilgisi kümesi için, bir RADIUS ilkesine karşı, bir ağ yolu üzerinde. Erişim noktasının radyosunu, bir anahtarın EAPOL işleyişini, kimlik doğrulamadan sonra gelen VLAN atamasını veya bir VPN yoğunlaştırıcısının aynı sunucuyla nasıl bütünleştiğini alıştırmaz. O bileşenler hiçbir zaman test edilen yolda olmadı. Sonucu sınırlı kanıt olarak ele alın ve raporlarken hangi sınırı kapsadığını söyleyin.

Yararlı kayıt, sunucunun ve sürecin her birinin ne gözlediğidir: hangi yöntem müzakere edildi, alışveriş nerede durdu ve sunucu neyi günlüğe yazdı. Paylaşılan sırları ve özel anahtarları o kaydın dışında tutun.

Sonucu alıntılamadan önce kontrol listesi

Biri çıktıyı onay olarak ele almadan önce dört şeyi doğrulayın. Derleme test edilen yöntemi içerir, RADIUS uç noktası ve paylaşılan sır test edilen ortama aittir, sunucu ilkesi bu test kimliğini kabul eder ve ağ yolu üretim istemcilerinin kullandığı yolla aynı sınıftadır. Sonra çalıştırmanın dokunmadığı şeyleri adlandırın: erişim noktası, anahtar, VLAN ve yoğunlaştırıcı bütünleşmesi her biri test planında kendi satırını gerektirir.

İki sahipli iki test tek bir belirsiz onaydan üstündür. eapol_test çalıştırması yöntem-ve-sunucu sorusunu yanıtlar; erişim hizmeti uygulama sorusunu yanıtlar.