VPN orqali eapol_test: RADIUS almashinuviga 2-qatlam kerakmi?

Laboratoriya kommutator portini so'rang, eapol_test ishga tushirish uchun — va ehtimol siz asbobni noto'g'ri o'qidingiz. Peer ham, RADIUS mijozi ham o'sha bitta binar fayl ichida yashaydi, shuning uchun mashinadan chiqadigan yagona suhbat RADIUS almashinuvining o'zi. Sinov xosti bilan autentifikatsiya serveri orasidagi marshrutlangan tunnel butun tarmoq talabidir. Fizik 802.1X yo'li — hali sinab ko'rishingiz kerak bo'lishi mumkin bo'lgan boshqa narsa, va bu u emas.

Nega nom odamlarni kommutator portini qidirishga yuboradi

EAPOL — supplicant va kommutatorning LANda ishlatadigan kadr formati, asbob esa nomni o'sha dunyodan o'sib chiqqani uchun olgan. Yetkazib beriladigan narsa — peer holat mashinasi va RADIUS mijozini bitta jarayonda olib yuruvchi sinov dasturi, shuning uchun 802.1X suhbatining ikki yarmi hech qachon sim ustida uchrashmaydi. Nom — tarix, topologiya talabi emas.

Odamlar hali ham portni so'raydi, chunki dastur autentifikator xulq-atvoriga tayanadi va bu apparatga o'xshaydi. Uning yelimi autentifikator holat mashinasini qayta hosil qiladi, shuning uchun sinov xonada birorta kirish nuqtasisiz yakunlanadi; kompilyatsiya qilingan binar wpa_supplicantning EAP peerini hostapdning RADIUS mijozi bilan bog'laydi. Kommutatorni olib tashlash EAPOL sakrashini olib tashlaydi, autentifikatsiya mantiqini emas. Qolgani — ikki IP xost o'rtasidagi mijoz-server almashinuvi.

Bitta RADIUS almashinuvini sakrashma-sakrash kuzatib boring

Bitta urinishni kuzatib boring, yo'l qisqa. eapol_test ichidagi peer siz sozlagan metod uchun EAP-Response hosil qiladi, xuddi shu jarayondagi RADIUS mijozi esa uni Access-Request ichiga qo'yadi va yukni Message-Authenticator yonidagi EAP-Message atributlarida olib yuradi. O'sha datagramma UDP 1812 portida serverga adreslanadi va boshqa har qanday IP paketi kabi xostdan chiqadi, tunnel aynan shu yerda kiradi. Server uni o'z siyosati va metod modullari bo'yicha baholaydi, so'ng Access-Challenge, Access-Accept yoki Access-Reject bilan javob beradi.

eapol_test -c peap-mschapv2.conf -a 198.51.100.20 -p 1812 \
  -s REPLACE_WITH_RADIUS_SECRET -t 30

Binar server manzilini, portni va umumiy sirni buyruq satridan, metod va hisob ma'lumotlarini esa wpa_supplicant uslubidagi konfiguratsiya blokidan oladi. Bu chaqiruvda hech narsa 2-qatlam qo'shnichiligiga bog'liq emas: -a marshrutlash orqali erishiladi, va uni marshrutlaydigan VPN yetarli. Agar tunnel datagrammani tashlab yuborsa, sinov tekis LANdagi yetib bo'lmaydigan serverga qarshi bo'lgani kabi muvaffaqiyatsiz tugaydi.

Binar va server siyosati har xil ro'yxatlar

Metod o'tishi mumkinmi-yo'qmi, buni ikki mustaqil ro'yxat hal qiladi va ularni chalkashtirish bir kunni yo'qotadi. Birinchi ro'yxat binarga kompilyatsiya qilingan: qurish konfiguratsiyasi qaysi EAP metodlari borligini tanlaydi, shuning uchun metodsiz qurilma server nima ruxsat bersa ham u bilan kelisha olmaydi. Ikkinchi ro'yxat serverda yashaydi, u yerda siyosat qo'llab-quvvatlanadigan metodlardan qaysilarini bu mijoz sinfi ishlata olishini aytadi. O'tish uchun kesishma kerak va hech bir ro'yxat ikkinchisidagi bo'shliqni to'ldira olmaydi.

Serverni ayblashdan oldin o'sha birinchi ro'yxatni tekshiring. O'rnatilgan binarda metod nomini qidiring yoki u kelgan qurish konfiguratsiyasini o'qing. Agar metod yo'q bo'lsa, RADIUS siyosatini tahrirlash o'rniga qayta quring; agar u bor bo'lsa-yu almashinuv baribir muvaffaqiyatsiz bo'lsa, muammo hisob ma'lumotlariga, siyosatga yoki sertifikat ishonchiga ko'chgan.

O'tish hali nimani qamramaydi

Muvaffaqiyatli ishga tushirish bitta metodni isbotlaydi, bitta hisob ma'lumotlari to'plami uchun, bitta RADIUS siyosatiga qarshi, bitta tarmoq yo'lida. U kirish nuqtasining radiosini, kommutatorning EAPOL ishlovini, autentifikatsiyadan keyingi VLAN taqsimotini yoki VPN konsentratorining o'sha server bilan qanday integratsiyalashishini mashq qilmaydi. O'sha komponentlar hech qachon sinovdan o'tgan yo'lda bo'lmagan. Natijani cheklangan dalil deb biling va hisobot berishda u qaysi chegarani qamrashini ayting.

Foydali yozuv — server va jarayon har biri nima kuzatgani: qaysi metod kelishilgan, almashinuv qayerda to'xtagan va server nima yozib olgan. Umumiy sirlar va shaxsiy kalitlarni o'sha yozuvdan tashqarida saqlang.

Natijani keltirishdan oldin tekshiruv ro'yxati

Kimdir chiqishni tasdiq deb qabul qilishidan oldin to'rt narsani tasdiqlang. Qurilmada sinovdan o'tkazilayotgan metod bor, RADIUS oxirgi nuqtasi va umumiy sir sinovdan o'tkazilayotgan muhitga tegishli, server siyosati bu sinov identifikatorini qabul qiladi va tarmoq yo'li ishlab chiqarish mijozlari ishlatadigan yo'lning o'sha sinfidandir. So'ng ishga tushirish nimaga tegmagani nomlang: kirish nuqtasi, kommutator, VLAN va konsentrator integratsiyasi har biri sinov rejasida o'z satriga muhtoj.

Ikki egasi bor ikki sinov bitta noaniq tasdiqdan afzal. eapol_test ishga tushirishi metod va server savoliga javob beradi; kirish xizmati tatbiq etish savoliga javob beradi.