NPS RADIUS müştərisi kimi hansı ünvanı qeydiyyata alırsınız?

Windows NPS-ə autentifikasiyanı ötürən VPN şlüzü, hər hansı istifadəçi siyasəti işləməzdən əvvəl NPS tərəfində bir obyektə ehtiyac duyur: şlüz üçün RADIUS müştəri qeydi. Uğursuz cəhdlərin çoxu səhv ünvanı qeyd edir, çünki vacib olan ünvan şlüzün backend yolunda istifadə etdiyi ünvandır, işçilərin VPN proqramına yazdığı host adı deyil. Bu dəyəri səhv alsanız, NPS sorğunu səssizcə atır və bu, müştəri tərəfindən səhv parol kimi görünür. Sahəyə hansı ünvanın aid olduğunu üç şərt həll edir, ona görə konsolu açmadan əvvəl onları işləyin.

Şlüzü qeyd edin, noutbukları və ya hovuzu deyil

RADIUS müştəri obyekti autentifikasiya sorğuları göndərən şəbəkə giriş qurğusunu təmsil edir. Bu, VPN şlüzüdür, müştərini işlədən hər noutbuk deyil və tunellər daxilində verilən ünvanlar aralığı da deyil.

Bu tunel ünvanları heç vaxt RADIUS sorğusunun mənbəyi kimi görünmür, çünki sorğu şlüzün öz şəbəkə yolu ilə gedir. Müştəri hovuzu qeydi yaratmaq heç vaxt uyğunlaşa bilməyən siyasət yaradır, halbuki real sorğu NPS-in heç vaxt eşitmədiyi ünvandan gəlir. Eyni qarışıqlıq insanları hər işçinin ev IP-sini əlavə etməyə aparır, bu da həm saxlanıla bilməz, həm də səhvdir.

Daxil etdiyiniz ünvanı üç şərt həll edir

Birincisi, şlüzün NPS-ə doğru həqiqətən istifadə etdiyi mənbə ünvanını tapın. Çoxinterfeysli şlüz çox vaxt ictimai VPN dinləyicisindən deyil, idarəetmə və ya backend interfeysindən göndərir. İkincisi, ikisi arasında NAT olub-olmadığını yoxlayın: sorğu tərcümə olunursa, NPS tərcümə olunmuş ünvanı görür və qeyd edilməli dəyər budur. Üçüncüsü, iki şlüz rolu paylaşırsa, hər sorğu mənbəyi öz müştəri qeydinə ehtiyac duyur, çünki bir ünvanlı tək obyekt onlardan yalnız birini əhatə edir.

İki tərəfli qeyd cütlüyü düzgün saxlayır. Aşağıdakı cədvəl illüstrasiya üçün özəl ünvanlardan istifadə edir, ona görə yolunuzun həqiqətən istifadə etdiyi ünvanlarla əvəz edin.

Mənbəni təxmin etmək yerinə təsdiqləyin. Bir cəhd zamanı NPS və ya firewall jurnalına baxın və ya NPS hostunda sudo tcpdump -ni any udp port 1812 ilə tutun. Həmin tutmada olan ünvan müştəri qeydi üçün yeganə müdafiə oluna bilən cavabdır. Şlüzün bir neçə mümkün mənbəyi varsa, hər birini öz dost adı ilə qeyd edin.

Ümumi sirr şlüz ilə NPS arasındakı dəyərdir

Ümumi sirr qurğu əlaqəsini təsdiqləyir. O, istifadəçi parolu deyil və heç vaxt işçilərə paylanmır və ya müştəri profillərinə yerləşdirilmir.

Bir dəyər seçin, onu hər iki yerdə daxil edin və şlüzün konfiqurasiya ehtiyat nüsxəsinin saxlandığı yerdə saxlayın. Uyğunsuzluq NPS-in faydalı xəta olmadan atdığı sorğu yaradır, bu da şlüz jurnalında əlçatmaz serverdən ayırd edilə bilmir. Onu texniki xidmət pəncərəsində dəyişdirin və hər iki ucu eyni dəyişiklikdə yeniləyin.

Bir icazəli sorğu ilə təsdiqləyin

Nəzarətli hesabdan istifadə edin və tək cəhdi hər iki tərəfdə uyğunlaşdırın. Şlüz tərəfində sorğunun nəzərdə tutulan serverə doğru getdiyini təsdiqləyin; NPS tərəfində isə onun qeydiyyatdan keçmiş müştəridən gəldiyini və gözlənilən bağlantı sorğusu siyasətinə uyğun olduğunu təsdiqləyin. Taym-aut və rədd fərqli şeylər deməkdir və hər ikisini etimad məlumatı problemi kimi qəbul etmək növbəti saatı itirir. Sonra etibarlı amma uyğun olmayan hesabı və səhv parolu yoxlayın, çünki hər şeyi qəbul edən siyasət ilk testdən də keçir.

Nəhayət, şlüzün qaytarılmış avtorizasiya ilə nə etdiyini yoxlayın. RADIUS müştərisini qeyd etmək yalnız qurğuya iştirak icazəsi verir; hər yaranan sessiyaya LAN-a giriş vermir.

Diaqnostik çıxışı məhdud saxlayın: dəstək bileti içində ümumi sirr, istifadəçi parolu və tam paket yükü olmasın. Əgər dizayn NPS serverinin kataloq atributlarını oxumasını tələb edirsə, bu icazə müştəri qeydindən ayrı inzibati tapşırıqdır və olmadıqda fərqli şəkildə uğursuz olur.