VPN کے ذریعے eapol_test: کیا RADIUS تبادلے کو لیئر 2 درکار ہے؟

لیب سوئچ پورٹ مانگیں تاکہ آپ eapol_test چلا سکیں — اور غالباً آپ نے اوزار غلط پڑھا ہے۔ ہم منصب اور RADIUS کلائنٹ دونوں اسی ایک بائنری کے اندر رہتے ہیں، اس لیے مشین سے باہر جانے والی واحد گفتگو خود RADIUS تبادلہ ہے۔ ٹیسٹ میزبان اور توثیق کار سرور کے درمیان روٹ شدہ سرنگ ہی پوری نیٹ ورک ضرورت ہے۔ طبعی 802.1X راستہ ایک اور چیز ہے جسے آپ کو ابھی بھی جانچنا پڑ سکتا ہے، اور یہ وہ نہیں ہے۔

نام لوگوں کو سوئچ پورٹ ڈھونڈنے کیوں بھیجتا ہے

EAPOL وہ فریم فارمیٹ ہے جو supplicant اور سوئچ LAN پر استعمال کرتے ہیں، اور اوزار نے نام ادھار لیا کیونکہ وہ اسی دنیا سے پروان چڑھا۔ جو فراہم کیا جاتا ہے وہ ایک ٹیسٹ پروگرام ہے جو ہم منصب کی حالت مشین اور RADIUS کلائنٹ کو ایک ہی عمل میں رکھتا ہے، اس لیے 802.1X گفتگو کے دو نصف کبھی تار پر نہیں ملتے۔ نام تاریخ ہے، ٹوپولوجی کی ضرورت نہیں۔

لوگ اب بھی پورٹ مانگتے ہیں کیونکہ پروگرام توثیق کار کے رویے پر کھڑا ہے، اور یہ ہارڈویئر جیسا لگتا ہے۔ اس کا گوند توثیق کار کی حالت مشین دوبارہ پیدا کرتا ہے، اس لیے کمرے میں کسی رسائی نقطے کے بغیر ٹیسٹ مکمل ہو جاتا ہے؛ مرتب شدہ بائنری wpa_supplicant کے EAP ہم منصب کو hostapd کے RADIUS کلائنٹ سے جوڑتی ہے۔ سوئچ ہٹانے سے EAPOL چھلانگ ہٹتی ہے، توثیق کی منطق نہیں۔ باقی دو IP میزبانوں کے درمیان کلائنٹ-سرور تبادلہ ہے۔

ایک RADIUS تبادلے کو چھلانگ بہ چھلانگ دیکھیں

ایک کوشش دیکھیں اور راستہ مختصر ہے۔ eapol_test کے اندر ہم منصب آپ کے ترتیب کردہ طریقے کے لیے EAP-Response بناتا ہے، اور اسی عمل کا RADIUS کلائنٹ اسے Access-Request میں رکھتا ہے، بوجھ کو Message-Authenticator کے ساتھ EAP-Message خصوصیات میں لے کر۔ وہ ڈیٹاگرام UDP پورٹ 1812 پر سرور کو مخاطب ہے اور کسی بھی دوسرے IP پیکٹ کی طرح میزبان چھوڑتا ہے، اور یہیں سرنگ آتی ہے۔ سرور اسے اپنی پالیسی اور طریقہ ماڈیولز کے مطابق جانچتا ہے، پھر Access-Challenge، Access-Accept یا Access-Reject سے جواب دیتا ہے۔

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

بائنری سرور کا پتہ، پورٹ اور مشترکہ راز کمانڈ لائن سے لیتی ہے، اور طریقہ و اسناد wpa_supplicant طرز کے ترتیبی بلاک سے۔ اس کال میں کچھ بھی لیئر 2 کی ہمسائیگی پر منحصر نہیں: -a روٹنگ سے پہنچتا ہے، اور اسے روٹ کرنے والا VPN کافی ہے۔ اگر سرنگ ڈیٹاگرام گرا دے، تو ٹیسٹ ویسے ہی ناکام ہوتا ہے جیسے ہموار LAN میں ناقابل رسائی سرور کے سامنے۔

بائنری اور سرور پالیسی الگ فہرستیں ہیں

دو خودمختار فہرستیں طے کرتی ہیں کہ طریقہ گزر سکتا ہے یا نہیں، اور انہیں ملانا ایک دن ضائع کرتا ہے۔ پہلی فہرست بائنری میں مرتب ہے: بلڈ ترتیب چنتی ہے کہ کون سے EAP طریقے موجود ہیں، اس لیے طریقے کے بغیر بلڈ سرور جو بھی اجازت دے اس پر بات چیت نہیں کر سکتا۔ دوسری فہرست سرور پر رہتی ہے، جہاں پالیسی کہتی ہے کہ معاون طریقوں میں سے یہ کلائنٹ طبقہ کون سے استعمال کر سکتا ہے۔ گزرنے کے لیے تقاطع درکار ہے، اور کوئی فہرست دوسری کی کمی نہیں بھر سکتی۔

سرور کو قصوروار ٹھہرانے سے پہلے وہ پہلی فہرست دیکھیں۔ نصب شدہ بائنری میں طریقے کا نام تلاش کریں، یا جس بلڈ ترتیب سے یہ آیا اسے پڑھیں۔ اگر طریقہ نہیں ہے تو RADIUS پالیسی میں ترمیم کے بجائے دوبارہ بلڈ کریں؛ اگر ہے اور تبادلہ پھر بھی ناکام ہوتا ہے، تو مسئلہ اسناد، پالیسی یا سرٹیفکیٹ اعتماد کی طرف منتقل ہو گیا ہے۔

گزرنا ابھی کیا نہیں ڈھکتا

کامیاب دوڑ ایک طریقہ ثابت کرتی ہے، ایک اسناد مجموعے کے لیے، ایک RADIUS پالیسی کے سامنے، ایک نیٹ ورک راستے پر۔ یہ رسائی نقطے کی ریڈیو، سوئچ کی EAPOL ہینڈلنگ، توثیق کے بعد آنے والی VLAN تقسیم، یا VPN مرکزیت کا اسی سرور کے ساتھ کیسے ضم ہونا کی مشق نہیں کرتا۔ وہ اجزا کبھی جانچے گئے راستے پر نہیں تھے۔ نتیجے کو محدود ثبوت سمجھیں، اور رپورٹ کرتے وقت بتائیں کہ یہ کون سی حد ڈھکتا ہے۔

مفید ریکارڈ وہ ہے جو سرور اور عمل نے الگ الگ دیکھا: کون سے طریقے پر بات چیت ہوئی، تبادلہ کہاں رکا، اور سرور نے کیا لاگ کیا۔ مشترکہ راز اور نجی چابیاں اس ریکارڈ سے باہر رکھیں۔

نتیجہ نقل کرنے سے پہلے چیک لسٹ

اس سے پہلے کہ کوئی آؤٹ پٹ کو منظوری سمجھے، چار باتیں تصدیق کریں۔ بلڈ میں زیر جانچ طریقہ موجود ہے، RADIUS اختتامی نقطہ اور مشترکہ راز زیر جانچ ماحول کے ہیں، سرور پالیسی اس ٹیسٹ شناخت کو قبول کرتی ہے، اور نیٹ ورک راستہ اسی طبقے کا ہے جو پیداواری کلائنٹ استعمال کرتے ہیں۔ پھر وہ نام لیں جسے دوڑ نے نہیں چھوا: رسائی نقطہ، سوئچ، VLAN اور مرکزیت کا انضمام ہر ایک کو ٹیسٹ منصوبے میں اپنی سطر چاہیے۔

دو مالکان والے دو ٹیسٹ ایک مبہم منظوری کو ہرا دیتے ہیں۔ eapol_test دوڑ طریقہ-اور-سرور سوال کا جواب دیتی ہے؛ رسائی خدمت نفاذ کے سوال کا جواب دیتی ہے۔