Watter adres registreer jy as die NPS RADIUS-kliënt?
Registreer die werklike backend-bron van die gateway, nie die publieke hostnaam of die kliëntpoel nie. Pas die gedeelde geheim aan en bevestig dan met een beheerde versoek.
'n VPN-gateway wat stawing aan Windows NPS oorhandig, het een objek aan die NPS-kant nodig voordat enige gebruikersbeleid kan loop: 'n RADIUS-kliëntinskrywing vir die gateway. Die meeste mislukte pogings registreer die verkeerde adres, want die adres wat saak maak, is die een wat die gateway op sy backend-pad gebruik, nie die hostnaam wat personeel in hul VPN-program tik nie. Kry daardie waarde verkeerd en NPS gooi die versoek stilweg weg, wat van die kliëntkant soos 'n verkeerde wagwoord lyk. Drie voorwaardes bepaal watter adres in die veld hoort, so werk hulle uit voordat jy die konsole oopmaak.
Registreer die gateway, nie die skootrekenaars of die poel nie
Die RADIUS-kliëntobjek verteenwoordig die netwerktoegangstoestel wat stawingsversoeke stuur. Dit is die VPN-gateway, nie elke skootrekenaar wat die kliënt laat loop nie, en nie die reeks adresse wat binne tonnels uitgedeel word nie.
Daardie tonneladresse verskyn nooit as die bron van 'n RADIUS-versoek nie, want die versoek reis oor die gateway se eie netwerkpad. Om 'n kliëntpoelinskrywing te registreer lewer 'n beleid wat nooit kan pas nie, terwyl die werklike versoek van 'n adres aankom waarvan NPS nog nooit gehoor het nie. Dieselfde verwarring lei daartoe dat mense elke werknemer se tuis-IP byvoeg, wat beide ononderhoudbaar en verkeerd is.
Drie voorwaardes bepaal die adres wat jy invoer
Eerstens, vind die bronadres wat die gateway werklik teenoor NPS gebruik. 'n Gateway met baie koppelvlakke stuur dikwels vanaf 'n bestuurs- of backend-koppelvlak eerder as sy publieke VPN-luisteraar. Tweedens, kyk of daar NAT tussen die twee is: as die versoek vertaal word, sien NPS die vertaalde adres, en dit is die waarde om te registreer. Derdens, as twee gateways die rol deel, het elke versoekbron sy eie kliëntinskrywing nodig, want 'n enkele objek met een adres dek net een van hulle.
'n Rekord met twee kante hou die paar reguit. Die tabel hieronder gebruik private adresse ter illustrasie, so vervang dit met die een wat jou pad werklik gebruik.
| At NPS | At the VPN gateway |
|---|---|
| RADIUS client address 10.20.0.10 | Authentication server 10.20.0.20 |
| Shared secret, agreed value | The same secret, same value |
| UDP 1812 permitted from 10.20.0.10 | UDP 1812 permitted toward 10.20.0.20 |
Bevestig die bron eerder as om dit te raai. Kyk tydens een poging na die NPS- of firewall-log, of vang op die NPS-gasheer met sudo tcpdump -ni any udp port 1812. Die adres in daardie vasvangs is die enigste verdedigbare antwoord vir die kliëntinskrywing. As die gateway verskeie moontlike bronne het, registreer elkeen onder sy eie vriendelike naam.
Die gedeelde geheim is 'n waarde tussen die gateway en NPS
Die gedeelde geheim staaf die toestelverhouding. Dit is nie 'n gebruikerswagwoord nie en dit word nooit aan personeel versprei of in kliëntprofiele ingebed nie.
Kies een waarde, voer dit op beide plekke in, en bêre dit waar die gateway se konfigurasie-rugsteun leef. 'n Onpasmaak lewer 'n versoek wat NPS sonder 'n nuttige fout laat val, wat in die gateway se log nie van 'n onbereikbare bediener te onderskei is nie. Draai dit tydens 'n onderhoudsvenster en werk beide kante in dieselfde verandering by.
Bevestig met een toegelate versoek
Gebruik 'n beheerde rekening en korreleer 'n enkele poging aan beide kante. By die gateway, bevestig dat die versoek na die beoogde bediener vertrek het; by NPS, bevestig dat dit van die geregistreerde kliënt gekom het en die verwagte verbindingsversoekbeleid gepas het. 'n Tydverstreke en 'n verwerping beteken verskillende dinge, en om albei as 'n geloofsbrieweprobleem te behandel mors die volgende uur. Toets dan 'n geldige maar onbevoegde rekening en 'n verkeerde wagwoord, want 'n beleid wat alles aanvaar, slaag ook die eerste toets.
Laastens, kyk wat die gateway met die teruggekeerde magtiging doen. Om 'n RADIUS-kliënt te registreer laat die toestel net deelneem; dit gee nie elke resulterende sessie toegang tot die LAN nie.
Hou diagnostiese uitset beperk: geen gedeelde geheime, geen gebruikerswagwoorde, geen volledige pakkie-ladings in 'n ondersteuningskaartjie nie. As die ontwerp vereis dat die NPS-bediener gidskenmerke lees, is daardie toestemming 'n aparte administratiewe taak van die kliëntregistrasie, en dit faal op 'n ander manier wanneer dit ontbreek.