Vaste VPN-IP: RADIUS Framed-IP-Address of ’n poel-reservering

Drie plekke kan ’n vaste binne-adres vir ’n VPN-kliënt hou, en net een van hulle behoort dit te besit. RADIUS kan die adres in ’n Access-Accept terugstuur, die gateway kan ’n statiese kaart vir die rekening hou, en die kliënt-adapter kan met die hand gestel word. Die eerste twee is beleid en die derde is ’n plaaslike raaiskoot wat die gateway vry is om te ignoreer of te oorskryf. Om tussen die eerste twee te kies is die werklike besluit, en dit hang af van wat die netwerktoegang-bediener werklik implementeer.

Drie plekke waar ’n vaste adres kan staan

RADIUS besit die adres wanneer die antwoord Framed-IP-Address bevat en die gateway daardie waarde op die sessie toepas. Die gateway besit dit wanneer ’n administrateur die rekening aan ’n statiese adres binne die poel karteer. Die kliënt besit niks, selfs wanneer sy adapter ’n handmatige adres wys, want die bediener ken die binne-adres tydens onderhandeling toe en ’n plaaslike instelling maak net saak wanneer die bediener niks stuur nie. Al drie lyk identies op ’n werkende verbinding, en daarom kom konflikte laat na vore. Die verskil word sigbaar by herverbinding, op ’n tweede toestel en ná ’n beleidsverandering.

Twee eienaars is die konfigurasie wat breek. ’n RADIUS-antwoord wat 172.28.4.77 toeken terwyl die gateway ’n statiese kaart vir 172.28.4.90 hou, lewer die waarde wat die vervaardiger se kode eerste nagaan, en die verloorder word sonder ’n logreël weggegooi. Dieselfde rekening op ’n tweede toestel kry dan ’n duplikaat-adres, en die simptoom lees soos ’n roeteerfout eerder as ’n toekenningskonflik. Beslis die eienaar voordat jy die tweede meganisme byvoeg.

Die kliëntkant-opsie is net werd om te noem sodat dit uitgesluit kan word. ’n Handmatige adapter-adres is ’n voorkeur wat die bedryfstelsel mag voorhou, nie ’n reservering nie, en dit kan nie keer dat ’n ander sessie dieselfde adres kry nie.

Wat die RADIUS-antwoord kan en nie kan beloof nie

RFC 2865definieer Framed-IP-Address as die IPv4-adres wat vir die gebruiker gekonfigureer moet word, en dit hoort in Access-Accept. Dieselfde eienskap in Access-Request is net ’n wenk wat die bediener mag ignoreer, wat saak maak wanneer ’n kliënt of gateway ’n voorkeuradres aanbied. Niks in die protokol dwing die gateway om die antwoord te eerbiedig nie, want die netwerktoegang-bediener is die komponent wat dit op die sessie toepas.

Ondersteuning is ’n produkvraag eerder as ’n protokolvraag. Sommige gateways pas omraamde adresse by verstek toe, sommige het ’n skakelaar op groepsviak nodig voordat hulle dit doen, en sommige aanvaar die eienskap en gebruik dit nooit vir afstandtoegang-sessies nie. Daardie laaste geval is die gevaarlike een, want die rekeningkundige rekord kan die antwoord wys terwyl die kliënt ’n poeladres kry. Bevestig die gedrag op die presiese gateway-model en firmware wat jy hardloop, nie op die dokumentasie vir ’n sustersproduk nie.

’n Antwoord wat die gateway ignoreer, lyk presies soos ’n antwoord wat nooit gestuur is nie. Om die Access-Accept en die sessie-adres langs mekaar te lees, is die enigste manier om die twee gevalle te skei.

Reserveer die adres binne die poel wat jy reeds roeteer

Kies die vaste adres uit die poelsubnet wat die gateway reeds roeteer en wat die firewall reeds vertrou. ’n Adres buite daardie reeks verander ’n beleidsverandering in ’n roeteringsprojek, en die VPN sal opkom terwyl niks daaragter kan antwoord nie. As daar toegangsreëls per adres bestaan, voeg die vaste adres in dieselfde verandering by hulle.

Besluit wat ’n tweede gelyktydige sessie moet doen. Om een adres twee keer toe te ken is nie toestelbestuur nie, en die gevolglike botsing verskyn as onderbroke verbinding vir beide sessies. Ken óf afsonderlike identiteite per toestel toe, ken óf afsonderlike toekennings toe, of dwing gelyktydigheid af met ’n ondersteunde kontrole soos Simultaneous-Use eerder as om te hoop die kliënt herbind nooit voordat die ou sessie verval nie.

Terugroetes verdien dieselfde aandag as die toekenning. Die gateway het ’n roete na die poel nodig, die interne roeteerders het ’n roete terug na die gateway nodig, en die vaste adres erf albei. ’n Enkele kliënt wat werk terwyl elke ander kliënt faal, beteken gewoonlik dat die poelroete bestaan maar die gasheerroete vir die gereserveerde adres nie.

Toets die antwoord voordat jy die huur vertrou

Toets die AAA-kant en die sessiekant afsonderlik, want hulle faal om verskillende redes. ’n Plaaslike radtest wys wat die bediener vir die rekening terugstuur sonder om die gateway te betrek, en die gebruikerslêer-inskrywing wys waarmee die bediener veronderstel is om te pas. Herverbind dan die kliënt en vergelyk die adres wat dit gekry het met die eienskap in die antwoord.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

’n Access-Accept sonder die eienskap beteken die bediener het nie die inskrywing gepas nie of die eienskap is nie op daardie gebruiker toegepas nie. ’n Access-Accept met die eienskap en ’n kliënt wat steeds ’n poeladres kry, beteken die gateway het dit geïgnoreer. ’n Access-Reject stuur jou terug na die geloofsbrief of die groepsbeleid, en geeneen van hierdie uitkomste moet deur die kliënt-adapter te wysig ontfout word nie.

Herhaal die kontrole ná ’n herverbinding en ná ’n tweede aanmelding van ’n ander toestel. ’n Reservering wat net vir die eerste sessie hou, is ’n poelkonflik wat wag om te gebeur, en dit is goedkoper om dit nou te vind as tydens ’n oudit.

Kies een eienaar en skryf dit neer

As die gateway omraamde adresse betroubaar toepas, laat RADIUS die toekenning besit en verwyder enige statiese kaart vir dieselfde rekening. As dit nie doen nie, laat die gateway dit besit en verwyder die eienskap uit die antwoord, sodat die twee bronne nie kan verskil nie. Om albei te hou omdat elkeen amper werk, waarborg ’n toekomstige sessie met die verkeerde adres en geen ooglopende oorsaak nie.

Skryf die gekose eienaar, die gereserveerde adres en die poel waaruit dit kom in die rekeningrekord. Die volgende persoon wat ’n toestel byvoeg, kan dan sien of die adres ’n AAA-beleid of ’n gateway-kaart is voordat hy enige van die twee verander.