Nima uchun RADIUS VPN foydalanuvchi nomi o'rniga IP manzilni ko'radi

strongSwan har qanday EAP almashinuvidan oldin IKE identifikatorini RADIUS User-Name ichiga qo'yishi mumkin. Hisob identifikatorini kim so'rashini hal qiling, so'ng bitta urinishni bog'lang.

Windows IKEv2 mijozi ulanadi va RADIUS so'rovi hisob nomi bo'lishi kerak joyda manzil bilan keladi. Hali hech narsa muvaffaqiyatsiz bo'lmadi va chalkashtiradigan qism ham shu: shlyuz mijoz IKE qatlamida taqdim etgan identifikatorni xabar qilmoqda. Sizning backend xohlagan foydalanuvchi nomi hali sodir bo'lmagan alohida EAP almashinuvidan kelishi mumkin. Hisobni o'zgartirishdan oldin uni kim so'rashini hal qiling.

Bitta ulanishda ikkita identifikator sayohat qiladi

Bitta ulanishda ikkita nom paydo bo'lishi mumkin. IKE identifikatori tunnel sozlashda hamkorni aniqlaydi va eap-radius plagini uni boshida RADIUS User-Name ichiga nusxalaydi. EAP identifikatori boshqa qiymat bo'lib, foydalanuvchini autentifikatsiya qilish uchun ishlatiladi va hech kim so'ramasa, u hech qachon yuborilmasligi mumkin.

Shuning uchun RADIUS jurnali hisob mavjud va parol to'g'ri bo'lsa ham manzilni ko'rsatishi mumkin. Backenddan noto'g'ri qatlam haqida so'ralmoqda. RADIUS atributi faqat tanlangan nom uchun tashuvchidir.

Shlyuzdan EAP identifikatorini so'rashni so'rang

Qo'llab-quvvatlanadigan bir sozlama shlyuzga autentifikatsiyani RADIUSga topshirishdan oldin EAP identifikatorini so'rash imkonini beradi. Ulanishning masofaviy autentifikatsiya bo'limida usulni eap-radius qilib sozlang va EAP identifikatorini aniq so'rang. Quyidagi parcha o'z faylida emas, mavjud ulanish bloki ichida joylashadi. Boshqa joylashtirishdan sintaksis nusxalashdan oldin ulanish va konfiguratsiya backendini tasdiqlang.

remote {
    auth = eap-radius
    eap_id = %any
}

Shu bilan backend IKE manzili o'rniga mijoz EAP almashinuvida taqdim etgan identifikatorni oladi. Ulanishda boshqa hech narsa o'zgarmaydi.

Yoki RADIUS EAP almashinuvini boshlasin

Boshqa sozlama birinchi qadamni RADIUS tomoniga qo'yadi. Plagin dastlabki identifikator javobini kutish o'rniga EAP-Start belgisini yuborishi mumkin, bu serverga almashinuvni boshqarish imkonini beradi. Bu plagin darajasidagi konfiguratsiya, shuning uchun plagindan foydalanadigan har bir ulanishga ta'sir qiladi.

charon {
    plugins {
        eap-radius {
            eap_start = yes
        }
    }
}

Ikkalasini yoqib umid qilish o'rniga RADIUS operatori bilan bitta sozlamani tanlang. Ular turli ish oqimlarini tavsiflaydi va boshlashni kutayotgan server suhbatni boshlaydigan shlyuzni albatta boshqara olmaydi. Plagin hujjatlari ikkalasini ham tavsiflaydi, har bir qadam qaysi identifikatorni olib yurishini ham.

Bitta urinishni ikkala jurnalda kuzatib boring

Bitta urinishni ikkala jurnalda bog'lang. IKE identifikatoriga, so'ng EAP-Identity almashinuvi sodir bo'lishiga, so'ng autentifikatsiya qadami qaysi nomni olishiga qarang. EAP almashinuvidan oldin manzilni rad etadigan backend sizning ko'zda tutilgan identifikatoringiz hech qachon ko'rinmasidan jarayonni to'xtatishi mumkin.

journalctl -u strongswan -f

Identifikatsiya tizimi kutadigan aniq foydalanuvchi nomi formatini domen prefiksi bilan birga saqlang. Manzil shaklidagi qiymatdan hech qachon hisob o'ylab topmang va siyosat qoidasini bajarish uchun hech qachon autentifikatsiyani o'chirmang. EAP identifikatori da'vo qilingan nom va usul uni hali ham isbotlashi kerak. Olingan nomni sinov yozuviga yozing, keyingi urinish ma'lum holatdan boshlansin.

Agar tuzatilgan oqim to'g'ri hisobga yetib, hali ham rad etilsa, keyingi dalil identifikator emas, EAP usuli va backend siyosatidir. Parolni tiklashni takrorlash avvalgi protokol qatlamida tanlangan qiymatni tuzata olmaydi.

O'xshash maqolalar