EAP hay chứng chỉ máy khách? Quyết định xác thực IKEv2

Cổng của bạn có thể chứng minh danh tính của chính nó bằng chứng chỉ trong khi chứng minh danh tính của bạn qua EAP, và sự kết hợp đó là bình thường chứ không mâu thuẫn. Hai cơ chế trả lời các câu hỏi khác nhau: điểm cuối này có phải là điểm tôi mong đợi không, và người dùng hay thiết bị này có được phép không. Thấy EAP trong một hồ sơ không tắt việc xác thực máy chủ. Chính việc đọc hồ sơ như một thiết lập duy nhất khiến người ta đặt lại sai thông tin xác thực.

Xác định tuyên bố nào đã thất bại trước khi chạm vào bất kỳ đối tượng nào trong hai. Giai đoạn thất bại cho bạn biết điều đó, nếu bạn đọc theo thứ tự.

Hai thông tin xác thực, hai tuyên bố

Chứng chỉ máy chủ ràng buộc một tên với một khóa, và máy khách kiểm tra ràng buộc đó với kho tin cậy của mình. Chứng chỉ máy khách ràng buộc một danh tính với một khóa, và cổng kiểm tra xem chứng chỉ được trình bày có chuỗi tới một thứ mà nó tin cậy không. EAP mang một trao đổi xác thực mà nội dung phụ thuộc vào phương thức được chọn. Đây là ba cấu trúc có vòng đời, chủ sở hữu và kiểu thất bại khác nhau.

Cụm mật khẩu mở khóa một khóa riêng không phải là mật khẩu tài khoản, ngay cả khi cả hai lời nhắc xuất hiện trong vài giây của nhau. Một cái là cục bộ trong kho khóa của thiết bị, và cái kia được xác thực bởi một máy chủ xác thực phía sau cổng.

EAP là một vật chứa, không phải một phương thức

EAP là một khuôn khổ: cổng và máy khách thương lượng một phương thức, và phương thức quyết định liệu có liên quan đến mật khẩu, token, trao đổi bên trong được đóng đường hầm hay chứng chỉ, như tài liệu strongSwan về IKEv2 trình bày. Đó là lý do EAP-TLS trông không giống chút nào EAP-MSCHAPv2 từ phía máy khách, dù cả hai đều hiện là EAP trong menu. Một hồ sơ chỉ nêu EAP chưa cho bạn biết người dùng sẽ được hỏi gì.

Đọc phương thức và backend cùng nhau. Backend quyết định định dạng tài khoản, hành vi khóa và điều mà việc đặt lại mật khẩu thực sự thay đổi, và không điều nào trong số đó hiển thị trong hồ sơ máy khách.

Triển khai hỗn hợp là bình thường

Chứng chỉ máy chủ cộng với EAP cho người dùng là hình thức mà hầu hết cổng truy cập từ xa triển khai, vì nó cho máy khách một điểm cuối có thể xác minh và cho người vận hành danh tính theo từng người dùng trong kho tài khoản trung tâm. Cũng có những triển khai bằng chứng chỉ máy khách, thường ở nơi danh tính thiết bị quan trọng hơn mật khẩu. Cả hai đều hợp lệ, và sai lầm là cho rằng thứ bạn thấy tuần trước chính là thứ đang ở trước mắt.

Hỏi người vận hành về phương thức và định dạng tài khoản đã được ghi lại thay vì suy ra chúng từ tên trường trong máy khách.

Quyết định từ giai đoạn thất bại

Sắp xếp các quan sát. Lỗi tin cậy trước bất kỳ lời nhắc người dùng nào là vấn đề chứng chỉ máy chủ và không mật khẩu nào sửa được. Một lời nhắc theo sau bởi sự từ chối là vấn đề xác thực người dùng, với phương thức EAP và backend là nghi phạm. Xác thực thành công theo sau bởi lỗi child-SA không phải cả hai.

Hai khác biệt nữa quan trọng. Máy khách từ chối chứng chỉ máy chủ thường báo không khớp tên hoặc cơ quan không xác định, đó là câu hỏi về kho tin cậy. Cổng từ chối người dùng thường ghi lại phương thức EAP và một loại lý do, đó là câu hỏi về tài khoản hoặc chính sách.

Vận hành hai mô hình

Với chứng chỉ, công việc là cấp phát, gia hạn, thu hồi và loại bỏ thiết bị bị mất, và nó diễn ra theo một lịch trình bạn kiểm soát. Với EAP, công việc là vòng đời tài khoản, hỗ trợ phương thức trên từng nền tảng máy khách và yếu tố thứ hai mà backend yêu cầu. Không mô hình nào rẻ hơn về mặt trừu tượng; chúng tải các nhóm khác nhau. Ghi lại mô hình nào mà triển khai của bạn thực sự dùng, vì các script hỗ trợ khác nhau nhiều hơn cấu hình.

Giữ chúng tách biệt trong ghi chú của bạn. Chứng chỉ hết hạn tạo ra lỗi vào một ngày, khóa tài khoản tạo ra lỗi sau khi đổi mật khẩu, và không khớp phương thức tạo ra lỗi chỉ trên một nền tảng.

Sau khi danh tính được chấp nhận

Xác thực là một cổng. Hiệp hội bảo mật con, bộ chọn lưu lượng, DNS và quyền của chính ứng dụng là những cổng sau, và mỗi cổng thất bại theo điều kiện riêng của nó. Một danh tính được chấp nhận mà không đến được đâu không phải là vấn đề xác thực.

Ghi lại phương thức, tài khoản hoặc chứng chỉ đã dùng và giai đoạn đã thất bại. Ghi chú đó biến sự cố tiếp theo thành một lần tra cứu thay vì một thử nghiệm.