عنوان IP ثابت للـ VPN: Framed-IP-Address في RADIUS أم حجز في مجمّع العناوين

يمكن لثلاثة مواضع أن تحمل عنوانًا داخليًا ثابتًا لعميل VPN، ويجب أن يملكه واحد منها فقط. يمكن لـ RADIUS أن يعيد العنوان في Access-Accept، ويمكن للبوابة أن تحتفظ بتعيين ثابت للحساب، ويمكن ضبط محوّل العميل يدويًا. الأولان سياسة، والثالث تخمين محلي للبوابة أن تتجاهله أو تكتب فوقه. الاختيار بين الأولين هو القرار الحقيقي، وهو يعتمد على ما ينفّذه خادم الوصول إلى الشبكة فعليًا.

ثلاثة مواضع يمكن أن يوجد فيها عنوان ثابت

يملك RADIUS العنوان عندما يحمل الرد Framed-IP-Address وتطبّق البوابة تلك القيمة على الجلسة. تملك البوابة العنوان عندما يعيّن المسؤول الحساب إلى عنوان ثابت داخل المجمّع. لا يملك العميل شيئًا، حتى عندما يعرض محوّله عنوانًا يدويًا، لأن الخادم يخصّص العنوان الداخلي أثناء التفاوض، والإعداد المحلي لا يهم إلا عندما لا يرسل الخادم شيئًا. تبدو المواضع الثلاثة متطابقة على اتصال عامل، ولهذا تظهر التعارضات متأخرة. يظهر الفرق عند إعادة الاتصال، وعلى جهاز ثانٍ، وبعد تغيير في السياسة.

مالكان اثنان هو الإعداد الذي ينكسر. رد RADIUS يخصّص 172.28.4.77 بينما تحتفظ البوابة بتعيين ثابت لـ 172.28.4.90 يعطي القيمة التي يفحصها كود المورّد أولًا، ويُهمل الخاسر دون سطر في السجل. الحساب نفسه على جهاز ثانٍ يتلقى عندئذ عنوانًا مكررًا، وتُقرأ الأعراض كعطل في التوجيه لا كتعارض في التخصيص. احسم المالك قبل أن تضيف الآلية الثانية.

خيار جهة العميل يستحق الذكر فقط لاستبعاده. عنوان المحوّل اليدوي تفضيل قد يعرضه نظام التشغيل، وليس حجزًا، ولا يمكنه منع جلسة أخرى من تلقي العنوان نفسه.

ما يمكن لرد RADIUS أن يعد به وما لا يمكن

RFC 2865يعرّف Framed-IP-Address بأنه عنوان IPv4 الذي يُضبط للمستخدم، وهو ينتمي إلى Access-Accept. السمة نفسها في Access-Request مجرد تلميح قد يتجاهله الخادم، وهذا يهم عندما يقدّم عميل أو بوابة عنوانًا مفضّلًا. لا شيء في البروتوكول يفرض على البوابة احترام الرد، لأن خادم الوصول إلى الشبكة هو المكوّن الذي يطبّقه على الجلسة.

الدعم مسألة منتج لا مسألة بروتوكول. بعض البوابات تطبّق العناوين المؤطّرة افتراضيًا، وبعضها يحتاج إلى مفتاح على مستوى المجموعة قبل ذلك، وبعضها يقبل السمة ولا يستخدمها أبدًا لجلسات الوصول عن بُعد. الحالة الأخيرة هي الخطيرة، لأن سجل المحاسبة قد يُظهر الرد بينما يتلقى العميل عنوانًا من المجمّع. أكّد السلوك على طراز البوابة والبرنامج الثابت اللذين تشغّلهما بالضبط، لا على وثائق منتج شقيق.

الرد الذي تتجاهله البوابة يبدو تمامًا كرد لم يُرسل قط. إن قراءة Access-Accept وعنوان الجلسة جنبًا إلى جنب هي السبيل الوحيد للفصل بين الحالتين.

احجز العنوان داخل المجمّع الذي توجّهه بالفعل

اختر العنوان الثابت من شبكة المجمّع الفرعية التي توجّهها البوابة بالفعل وتثق بها الجدار الناري بالفعل. العنوان خارج ذلك النطاق يحوّل تغييرًا في السياسة إلى مشروع توجيه، وسيعمل الـ VPN بينما لا يستطيع شيء خلفه الرد. إذا وُجدت قواعد وصول لكل عنوان، فأضف العنوان الثابت إليها في التغيير نفسه.

قرّر ما يجب أن تفعله جلسة ثانية متزامنة. تخصيص عنوان واحد مرتين ليس إدارة أجهزة، والتصادم الناتج يظهر كاتصال متقطّع لكلا الجلستين. إما أن تصدر هويات مميّزة لكل جهاز، أو تخصيصات مميّزة، أو تفرض التزامن بفحص مدعوم مثل Simultaneous-Use بدلًا من الأمل في أن العميل لن يعيد الاتصال قبل انتهاء الجلسة القديمة.

تستحق مسارات العودة الاهتمام نفسه الذي يستحقه التخصيص. تحتاج البوابة إلى مسار نحو المجمّع، ويحتاج الموجّهات الداخلية إلى مسار عائد نحو البوابة، والعنوان الثابت يرث كليهما. عميل واحد يعمل بينما يفشل كل عميل آخر يعني عادةً أن مسار المجمّع موجود لكن مسار المضيف للعنوان المحجوز غير موجود.

اختبر الرد قبل أن تأتمن الحجز

اختبر جانب AAA وجانب الجلسة منفصلين، لأنهما يفشلان لأسباب مختلفة. أداة radtest المحلية تُظهر ما يعيده الخادم للحساب دون إشراك البوابة، ومدخل ملف المستخدمين يُظهر ما يُفترض أن يطابقه الخادم. ثم أعد اتصال العميل وقارن العنوان الذي تلقّاه بالسمة في الرد.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

رد Access-Accept بدون السمة يعني أن الخادم لم يطابق المدخل أو أن السمة لم تُطبّق على ذلك المستخدم. رد Access-Accept مع السمة وعميل لا يزال يتلقى عنوانًا من المجمّع يعني أن البوابة تجاهلته. رد Access-Reject يعيدك إلى بيانات الاعتماد أو سياسة المجموعة، ولا ينبغي تصحيح أي من هذه النتائج بتحرير محوّل العميل.

أعد الفحص بعد إعادة اتصال وبعد تسجيل دخول ثانٍ من جهاز آخر. الحجز الذي يصمد للجلسة الأولى فقط هو تعارض في المجمّع ينتظر الحدوث، والعثور عليه الآن أرخص من العثور عليه أثناء تدقيق.

اختر مالكًا واحدًا واكتبه

إذا طبّقت البوابة العناوين المؤطّرة بموثوقية، فدع RADIUS يملك التخصيص واحذف أي تعيين ثابت للحساب نفسه. وإذا لم تفعل، فدع البوابة تملكه واحذف السمة من الرد، حتى لا يختلف المصدران. الإبقاء على الاثنين لأن كلًا منهما يعمل تقريبًا يضمن جلسة مستقبلية بعنوان خاطئ ودون سبب واضح.

اكتب المالك المختار والعنوان المحجوز والمجمّع الذي جاء منه في سجل الحساب. يستطيع الشخص التالي الذي يضيف جهازًا أن يرى ما إذا كان العنوان سياسة AAA أم تعيينًا على البوابة قبل أن يغيّر أيًا منهما.