Які адрас рэгістраваць як кліент RADIUS для NPS?

VPN-шлюз, які перадае аўтэнтыфікацыю ў Windows NPS, мае патрэбу ў адным аб'екце на баку NPS, перш чым зможа працаваць любая палітыка карыстальніка: запіс кліента RADIUS для шлюза. Большасць няўдалых спроб рэгіструюць няправільны адрас, бо важны той адрас, які шлюз выкарыстоўвае на сваім шляху бэкенду, а не імя хоста, якое супрацоўнікі ўводзяць у сваю VPN-праграму. Калі памыліцца з гэтым значэннем, NPS моўчкі адкідвае запыт, і з боку кліента гэта выглядае як няправільны пароль. Тры ўмовы вызначаюць, які адрас належыць у поле, таму разбярыцеся з імі перад адкрыццём кансолі.

Рэгіструйце шлюз, а не ноўтбукі ці пул

Аб'ект кліента RADIUS уяўляе сабой прыладу сеткавага доступу, якая адпраўляе запыты аўтэнтыфікацыі. Гэта VPN-шлюз, а не кожны ноўтбук з кліентам і не дыяпазон адрасоў, выдадзеных унутры тунеляў.

Гэтыя тунельныя адрасы ніколі не з'яўляюцца крыніцай запыту RADIUS, бо запыт ідзе ўласным сеткавым шляхам шлюза. Рэгістрацыя запісу пула кліентаў стварае палітыку, якая ніколі не можа супасці, а сапраўдны запыт прыходзіць з адраса, пра які NPS ніколі не чуў. Тая ж блытаніна прыводзіць да таго, што людзі дадаюць хатні IP кожнага супрацоўніка, а гэта і непадтрымліваема, і няправільна.

Тры ўмовы вызначаюць адрас, які вы ўводзіце

Па-першае, знайдзіце адрас крыніцы, які шлюз фактычна выкарыстоўвае ў бок NPS. Шлюз з некалькімі інтэрфейсамі часта адпраўляе з кіраўніцкага ці бэкенд-інтэрфейсу, а не з публічнага VPN-слухача. Па-другое, праверце, ці ёсць NAT паміж імі: калі запыт транслюецца, NPS бачыць трансляваны адрас, і менавіта гэта значэнне трэба рэгістраваць. Па-трэцяе, калі два шлюзы дзеляць ролю, кожная крыніца запыту мае патрэбу ў сваім запісе кліента, бо адзін аб'ект з адным адрасам пакрывае толькі адзін з іх.

Запіс з двума канцамі трымае пару правільна. Табліца ніжэй выкарыстоўвае прыватныя адрасы для ілюстрацыі, таму падстаўце тыя, якія фактычна выкарыстоўвае ваш шлях.

Пацвярдзіце крыніцу, а не ўгадвайце яе. Назірайце за журналам NPS ці файрвола падчас адной спробы або зрабіце перахоп на хосце NPS з дапамогай sudo tcpdump -ni any udp port 1812. Адрас у гэтым перахопе — адзіны абараняльны адказ для запісу кліента. Калі ў шлюза некалькі магчымых крыніц, рэгіструйце кожную пад сваім зручным імем.

Агульны сакрэт — гэта значэнне паміж шлюзам і NPS

Агульны сакрэт пацвярджае сувязь прылад. Гэта не пароль карыстальніка, і ён ніколі не раздаецца супрацоўнікам і не ўбудоўваецца ў профілі кліентаў.

Выберыце адно значэнне, увядзіце яго ў абодвух месцах і захавайце там, дзе жыве рэзервовая копія канфігурацыі шлюза. Несупадзенне стварае запыт, які NPS адкідвае без карыснай памылкі, і гэта немагчыма адрозніць ад недасяжнага сервера ў журнале шлюза. Змяняйце яго падчас акна абслугоўвання і абнаўляйце абодва канцы ў адным змяненні.

Пацвердзіце адным дазволеным запытам

Выкарыстайце кантраляваны ўліковы запіс і суаднясіце адну спробу на абодвух баках. На шлюзе пацвердзіце, што запыт пайшоў да патрэбнага сервера; на NPS пацвердзіце, што ён прыйшоў ад зарэгістраванага кліента і адпавядаў чаканай палітыцы запыту злучэння. Тайм-аўт і адмова значаць рознае, і калі лічыць абодва праблемай уліковых даных, гэта марнуе наступную гадзіну. Затым праверце сапраўдны, але недапушчальны ўліковы запіс і няправільны пароль, бо палітыка, якая прымае ўсё, таксама праходзіць першы тэст.

Нарэшце, праверце, што шлюз робіць з вернутай аўтарызацыяй. Рэгістрацыя кліента RADIUS толькі дазваляе прыладзе ўдзельнічаць; яна не дае кожнай выніковай сесіі доступ да LAN.

Трымайце дыягнастычны вывад абмежаваным: ніякіх агульных сакрэтаў, ніякіх пароляў карыстальнікаў, ніякіх поўных карысных нагрузак пакетаў у заяўцы ў падтрымку. Калі праект патрабуе, каб сервер NPS чытаў атрыбуты каталога, гэты дазвол — асобная адміністрацыйная задача ад рэгістрацыі кліента, і без яго ён збаўляе інакш.