RADIUS se Framed-IP-Address vir ’n stabiele VPN-kliëntadres

RADIUS kan met ’n adres vir ’n gegewe gebruiker antwoord; of die tonnel dit werklik ontvang, hang van die poort af. Daardie gaping tussen teruggegee en toegepas is waar die meeste planne vir stabiele adresse misluk. ’n Attribuut in ’n toetsantwoord bewys dat die bediener dit kan stuur, nie dat die afstandtoegangsdiens dit toepas nie. Die volgorde hieronder kontroleer albei helftes voordat die adres in firewall-reëls beland.

Bepaal watter laag die adres besit

Afstandtoegangspoorte het gewoonlik ’n plaaslike poel, en baie kan ook ’n adres uit die verifikasiereply aanvaar. Watter een wen hang van die platform, die protokol en die dienskonfigurasie af, so lees die voorrangreël vir die presiese weergawe wat gebruik word. Waar die plaaslike poel voorkeur geniet, is die attribuut blote versiering en kry die kliënt steeds ’n toevallige adres. Skryf die besluit neer, insluitend of ’n teruggegewe waarde binne die poelreeks moet val of daarbuite mag val.

RFC 2865 definieer Framed-IP-Address as die adres wat vir die gebruiker opgestel moet word, en sê niks oor enige bepaalde poort se bereidwilligheid om dit te respekteer nie. Verkoopsdokumentasie is die gesag oor voorrang, nie die attribuutdefinisie nie.

Stuur ’n toetsversoek en lees die antwoord

Toets eers die bediener in isolasie, sodat ’n ontbrekende attribuut nie as ’n poortprobleem misgis word nie. radtest stuur een Access-Request en druk die attribute wat terugkom.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Soek Framed-IP-Address in die Access-Accept en bevestig dat die waarde die bedoelde een is eerder as ’n poeladres uit ’n terugvalreël. Wanneer die attribuut afwesig is, pas die gebruikersinskrywing of die magtigingsbeleid nie, en poortinstelling kan nie verskaf wat die bediener nooit gestuur het nie. Herhaal die versoek terwyl die bediener in ontfoutmodus loop as die antwoord moeilik na ’n spesifieke reël herlei kan word. Hou die gedeelde geheim uit dopgeskiedenis en kaartjies, want die plekhouer hierbo is nie ’n geloofsbrief nie.

Bevestig dat die poort die waarde toegepas het

’n Korrekte antwoord is net die helfte van die kontrak. Die adres wat op die tonnelkoppelvlak verskyn, is die waarneming wat saak maak, en dit word op die kliënt gelees eerder as uit poortkonfigurasie afgelei.

ip -4 addr show tun0

Vergelyk daardie adres met die attribuut uit die Access-Accept. ’n Wanverhouding beteken die poort het die waarde geïgnoreer of herskryf, wat die voorrangvraag uit die eerste afdeling heropen. Herverbind nog een keer, want ’n reservering wat net by die eerste poging werk, dui gewoonlik op ’n verouderde sessie of ’n huurtermyn wat die vorige verbinding nog hou. Teken die poortweergawe en protokol langs die resultaat aan, sodat die volgende persoon kan sien of die gedrag weergawe-spesifiek is.

Beplan vir gelyktydigheid en herroeping

Een gebruikersnaam op twee toestelle kan nie na een adres karteer nie, tensy die poort die sessies deur iets anders as die aanmelding onderskei. Besluit of die kartering aan ’n persoon, ’n ingeskrewe toestel of ’n sertifikaatidentiteit behoort, en maak daardie keuse eksplisiet in die beleidstoor. Toets ’n tweede gelyktydige kliënt en vergelyk albei toegekende adresse, want ’n botsing hier herverskyn later as ’n roetefout. Dieselfde sorg hoort in die herroepingsplan, want ’n adres wat hertoegewys word terwyl ou firewall-reëls dit nog verwys, word ’n magtigingsfout.

Stabiele adressering vereenvoudig reëls en logs, maar dit bewys nooit wie ’n pakkie geskep het nie. Verifikasie en bestemmingsmagtiging bly saak maak wanneer daardie adres later na ’n ander sessie skuif.