EAP qua cổng VPN: ai là bên kết thúc phương thức

Phiếu hỗ trợ mô tả một lần đăng nhập VPN thất bại và một chính sách RADIUS đòi phương thức mạnh hơn như thể là cùng một vấn đề, nhưng không phải vậy. Cổng hoặc nhận thông tin đăng nhập rồi chuyển tiếp, hoặc mang một cuộc trao đổi EAP giữa máy khách và máy chủ xác thực. Việc nào trong hai việc đó xảy ra quyết định liệu một thay đổi phía máy chủ có sửa được gì hay không. Hãy đọc cuộc trao đổi trước khi sửa nhóm máy chủ.

Hai đường xác thực trông giống nhau trong nhật ký

Ở đường thứ nhất, cổng VPN thu thập tên người dùng và mật khẩu rồi gửi một RADIUS Access-Request kèm thuộc tính mật khẩu. Máy chủ xác thực so sánh với kho của mình và trả lời chấp nhận hoặc từ chối. Máy khách không bao giờ chạy một phương thức EAP, vì không có gì yêu cầu.

Ở đường thứ hai, máy khách và máy chủ xác thực chạy phương thức EAP từ đầu đến cuối, và cổng chuyển tiếp các thuộc tính EAP-Message giữa hai bên. Cổng vẫn kết thúc cuộc trao đổi RADIUS bên ngoài, nhưng logic của phương thức nằm ở hai đầu.

Cả hai đường đều tạo một dòng trong nhật ký nói rằng xác thực thất bại. Chỉ đường thứ hai mới chịu ảnh hưởng của phương thức EAP mà máy chủ ưu tiên, và chỉ đường thứ nhất chịu ảnh hưởng của cách cổng đọc mật khẩu. Coi chúng là thay thế được cho nhau chính là lý do các nhóm mất cả ngày đổi nhóm máy chủ cho một máy khách vốn sẽ không bao giờ nói PEAP.

Phương thức thực sự chạy ở đâu

RFC 3579 định nghĩa cách bố trí chuyển tiếp: NAS mang gói EAP trong các thuộc tính RADIUS và không cần mã riêng cho từng loại EAP. Vì thế một cổng có thể hỗ trợ PEAP và EAP-TLS mà không cần triển khai cái nào.

Một cổng gửi mật khẩu không mang PEAP, kể cả khi phần phụ trợ chấp nhận PEAP từ máy khách khác. Bật PEAP trong chính sách máy chủ không thêm phương thức cho máy khách chưa từng đề nghị.

Các thiết lập xác thực PPP thuộc về dịch vụ PPP. Chúng không âm thầm cấu hình lại mọi đường IPsec hay XAuth cũ dùng cùng máy chủ AAA, nên một thay đổi hiệu quả cho một kiểu truy cập có thể để kiểu kia nguyên vẹn.

NAS phải hỗ trợ gì

Việc chuyển tiếp chuyển yêu cầu từ mã phương thức sang hỗ trợ vật mang. Cổng phải mang được EAP qua giao thức VPN của mình, và máy khách RADIUS trên đó phải gửi và nhận được các thuộc tính EAP-Message có kích thước liên quan.

Với IKEv2, EAP là một phần của luồng xác thực đã định, và các kiểm tra danh tính cùng tin cậy của máy chủ đến từ luồng đó. Nhãn PEAP vay từ một triển khai 802.1X không tự động chuyển sang, vì việc thương lượng quanh nó khác.

Phía máy khách cũng có yêu cầu. Nó phải được cấu hình cho phương thức, tin tưởng chứng chỉ máy chủ mà phương thức trình bày, và có thông tin đăng nhập mà phương thức dùng được. Một phương thức dựa trên chứng chỉ mà không có chứng chỉ máy khách sẽ thất bại trước khi RADIUS thấy gì, và đó là vấn đề cung cấp chứ không phải chính sách máy chủ.

Đọc một lần thử trước khi đổi chính sách

Bắt một lần thử đã được phê duyệt ở cổng và ở máy chủ xác thực. Tìm các thuộc tính EAP-Message trong yêu cầu RADIUS. Sự có mặt của chúng cho biết đường chuyển tiếp đang được dùng; sự vắng mặt chỉ ra việc trao đổi thông tin đăng nhập.

Trên một cổng Linux, bản bắt gói ở cổng RADIUS cho thấy thuộc tính nào đang ở trên dây:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Sau đó so sánh điểm từ chối. Thất bại tại cổng trước mọi gói RADIUS nghĩa là máy khách và cổng không thống nhất về phương thức. Một lần từ chối RADIUS có thuộc tính EAP nghĩa là hai đầu đã chạy phương thức và một trong hai từ chối kết quả.

Lập kế hoạch di trú như một thay đổi từ đầu đến cuối

Đổi phương thức nghĩa là đổi đồng thời cấu hình máy khách, hỗ trợ vật mang ở cổng, chính sách phương thức ở máy chủ và kho thông tin đăng nhập. Hãy làm theo thứ tự đó và giữ một đường đang chạy cho đến khi đường mới được chứng minh. Một thay đổi chỉ ở phía máy chủ là phỏng đoán và thường làm hỏng những máy khách vốn đang chạy. Hãy chuẩn bị thay đổi trên một danh tính thử nghiệm trước khi chạm vào nhóm.

Ghi lại tổ hợp đang chạy: giao thức VPN, vật mang EAP, phương thức của đối tác, phương thức của máy chủ, loại thông tin đăng nhập và kiểm tra danh tính máy chủ.

Giữ AAA đăng nhập quản trị tách khỏi xác thực VPN trừ khi nhiệm vụ bao gồm rõ ràng cả hai. Một thay đổi dành cho truy cập từ xa không nên lấy đi khả năng quản lý thiết bị vốn kết thúc nó.