Стабільны адрас VPN-кліента праз Framed-IP-Address у RADIUS

RADIUS можа адказаць адрасам для пэўнага карыстальніка; ці атрымае яго тунель насамрэч, залежыць ад шлюза. Менавіта ў гэтай разбежнасці паміж вернутым і ўжытым правальваюцца большасць планаў стабільных адрасоў. Атрыбут у тэставым адказе даказвае, што сервер можа яго адаслаць, а не тое, што служба аддаленага доступу яго ўжывае. Паслядоўнасць ніжэй правярае абедзве паловы, перш чым адрас трапіць у правілы міжсеткавага экрана.

Вызначце, які ўзровень валодае адрасам

Шлюзы аддаленага доступу звычайна маюць лакальны пул, і многія могуць таксама прымаць адрас з адказу аўтэнтыфікацыі. Хто пераможа, залежыць ад платформы, пратакола і канфігурацыі службы, таму чытайце правіла прыярытэту для дакладнай версіі, якая выкарыстоўваецца. Калі лакальны пул мае перавагу, атрыбут — гэта ўпрыгожанне, і кліент усё роўна атрымлівае выпадковы адрас. Запішыце рашэнне, уключна з тым, ці мусіць вернутае значэнне знаходзіцца ў межах пула, ці можа выходзіць за іх.

RFC 2865 вызначае Framed-IP-Address як адрас, які трэба наладзіць для карыстальніка, і нічога не кажа пра гатоўнасць канкрэтнага шлюза яго паважаць. Дакументацыя вытворцы — гэта крыніца пра прыярытэт, а не вызначэнне атрыбута.

Адашліце тэставы запыт і прачытайце адказ

Спачатку праверце сервер ізалявана, каб адсутны атрыбут не быў памылкова прыняты за праблему шлюза. radtest адпраўляе адзін Access-Request і друкуе атрыбуты, якія вяртаюцца.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Шукайце Framed-IP-Address у Access-Accept і пераканайцеся, што значэнне — мэтавае, а не адрас пула з рэзервовага правіла. Калі атрыбут адсутнічае, запіс карыстальніка або палітыка аўтарызацыі не супадаюць, і наладка шлюза не можа даць тое, чаго сервер ніколі не дасылаў. Паўтарыце запыт, пакуль сервер працуе ў рэжыме адладкі, калі адказ цяжка звязаць з пэўным правілам. Трымайце агульны сакрэт па-за гісторыяй абалонкі і заяўкамі, бо запаўняльнік вышэй не з’яўляецца ўліковымі данымі.

Пацвердзіце, што шлюз паважаў значэнне

Правільны адказ — гэта толькі палова дамовы. Адрас, які з’яўляецца на інтэрфейсе тунеля, — гэта назіранне, якое мае значэнне, і яго чытаюць на кліенце, а не выводзяць з канфігурацыі шлюза.

ip -4 addr show tun0

Параўнайце гэты адрас з атрыбутам з Access-Accept. Несупадзенне азначае, што шлюз праігнараваў або перапісаў значэнне, і гэта зноў адкрывае пытанне прыярытэту з першага раздзела. Падключыцеся яшчэ раз, бо рэзерваванне, якое працуе толькі пры першай спробе, звычайна паказвае на састарэлую сесію або арэнду, якую ўсё яшчэ ўтрымлівае папярэдняе злучэнне. Запішыце версію шлюза і пратакол побач з вынікам, каб наступны чалавек мог зразумець, ці залежыць паводзіны ад версіі.

Плануйце адначасовасць і адкліканне

Адно імя карыстальніка на двух прыладах не можа адпавядаць аднаму адрасу, пакуль шлюз не адрознівае сесіі чымсьці па-за межамі ўваходу. Вызначце, ці належыць адпаведнасць чалавеку, зарэгістраванай прыладзе або ідэнтычнасці сертыфіката, і зрабіце гэты выбар відавочным у сховішчы палітык. Праверце другога адначасовага кліента і параўнайце абодва прызначаныя адрасы, бо калізія тут пазней вернецца як памылка маршрутызацыі. Тая ж асцярожнасць патрэбная ў плане адклікання, бо адрас, перапрызначаны, пакуль старыя правілы міжсеткавага экрана ўсё яшчэ спасылаюцца на яго, ператвараецца ў памылку аўтарызацыі.

Стабільная адрасацыя спрашчае правілы і журналы, але ніколі не даказвае, хто стварыў пакет. Аўтэнтыфікацыя і аўтарызацыя прызначэння па-ранейшаму важныя, калі гэты адрас пазней пераходзіць да іншай сесіі.