eapol_test через VPN: чи потрібен обміну RADIUS другий рівень?

Попросіть лабораторний порт комутатора, щоб запустити eapol_test — і ви, найімовірніше, неправильно зрозуміли інструмент. Peer і клієнт RADIUS обидва живуть усередині одного бінарника, тому єдина розмова, що залишає машину, — це сам обмін RADIUS. Маршрутизований тунель між тестовим хостом і сервером автентифікації — це вся мережева вимога. Фізичний шлях 802.1X — інша річ, яку, можливо, ще потрібно протестувати, і це не він.

Чому назва змушує людей шукати порт комутатора

EAPOL — це формат кадру, який supplicant і комутатор використовують у LAN, і інструмент позичає назву, бо виріс із того світу. Постачається тестова програма, яка несе скінченний автомат peer і клієнт RADIUS в одному процесі, тому дві половини розмови 802.1X ніколи не зустрічаються на дроті. Назва — історія, а не вимога до топології.

Люди досі просять порт, бо програма спирається на поведінку автентифікатора, а це звучить як обладнання. Її клей відтворює скінченний автомат автентифікатора, тому тест завершується без точки доступу в кімнаті; скомпільований бінарник зв'язує EAP peer із wpa_supplicant з клієнтом RADIUS із hostapd. Видалення комутатора видаляє крок EAPOL, а не логіку автентифікації. Залишається обмін клієнт-сервер між двома IP-хостами.

Простежте один обмін RADIUS крок за кроком

Простежте одну спробу, і шлях короткий. Peer усередині eapol_test створює EAP-Response для налаштованого вами методу, а клієнт RADIUS у тому самому процесі вміщує його в Access-Request, несучи корисне навантаження в атрибутах EAP-Message поряд із Message-Authenticator. Ця датаграма адресована серверу на UDP-порту 1812 і залишає хост, як будь-який інший IP-пакет, і саме тут вступає тунель. Сервер оцінює її за своєю політикою та модулями методів, потім відповідає Access-Challenge, Access-Accept або Access-Reject.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Бінарник бере адресу сервера, порт і спільний секрет із командного рядка, а метод і облікові дані — з блоку конфігурації в стилі wpa_supplicant. Ніщо в цьому виклику не залежить від сусідства 2-го рівня: -a досягається маршрутизацією, і достатньо VPN, який його маршрутизує. Якщо тунель відкидає датаграму, тест провалюється точно так само, як проти недоступного сервера в плоскій LAN.

Бінарник і політика сервера — різні списки

Два незалежні списки вирішують, чи може метод пройти, і плутати їх — означає втратити день. Перший список скомпільовано в бінарник: конфігурація збірки вибирає, які методи EAP існують, тому збірка без методу не може про нього домовитися, хоч би що дозволяв сервер. Другий список живе на сервері, де політика каже, які з підтримуваних методів може використовувати цей клас клієнтів. Для проходження потрібен перетин, і жоден список не може заповнити прогалину в іншому.

Перевірте цей перший список, перш ніж звинувачувати сервер. Пошукайте назву методу в установленому бінарнику або прочитайте конфігурацію збірки, з якої він походить. Якщо методу немає, перезберіть, а не редагуйте політику RADIUS; якщо він є, а обмін усе ще не вдається, проблема перемістилася до облікових даних, політики або довіри до сертифіката.

Чого проходження все ще не охоплює

Успішний запуск доводить один метод, для одного набору облікових даних, проти однієї політики RADIUS, одним мережевим шляхом. Він не тренує радіо точки доступу, обробку EAPOL комутатором, призначення VLAN після автентифікації та те, як концентратор VPN інтегрується з тим самим сервером. Ці компоненти ніколи не були на перевіреному шляху. Ставтеся до результату як до обмеженого доказу і вказуйте, яку межу він охоплює, коли повідомляєте про нього.

Корисний запис — це те, що спостерігали сервер і процес кожен окремо: який метод було узгоджено, де обмін зупинився і що сервер записав у журнал. Тримайте спільні секрети й закриті ключі поза цим записом.

Контрольний список перед цитуванням результату

Перш ніж хтось сприйме вивід як схвалення, підтвердьте чотири речі. Збірка містить тестований метод, кінцева точка RADIUS і спільний секрет належать тестованому середовищу, політика сервера допускає цю тестову ідентичність, а мережевий шлях — того ж класу, що його використовують виробничі клієнти. Потім назвіть те, чого запуск не торкнувся: точка доступу, комутатор, VLAN та інтеграція концентратора кожна потребує свого рядка в тестовому плані.

Два тести з двома власниками кращі за одне неоднозначне схвалення. Запуск eapol_test відповідає на питання про метод і сервер; служба доступу відповідає на питання про застосування.