RRAS DHCP: новы адрас ці толькі параметры канфігурацыі?

Чытаць DHCPACK у перахопе як доказ таго, што VPN-кліент атрымаў адрас ад DHCP, — памылка. Звычайна гэта даказвае толькі тое, што нейкае паведамленне DHCP атрымала адказ. Windows RRAS можа раздаваць адрасы сеансаў са свайго статычнага пула, а DHCP усё яшчэ падае параметры падключанаму кліенту. Тып запыту падказвае, якая з дзвюх прац ішла.

Дзве працы, якія дзеляць тып паведамлення

DHCP робіць дзве асобныя рэчы, і яны дзеляць тыпы паведамленняў. Адна — выдзяленне адраса і арэнды. Другая — перадача канфігурацыі хосту, які ўжо мае адрас, што RFC 2131 называе DHCPINFORM. Адказ у другім выпадку нясе параметры і не нясе часу арэнды.

Такім чынам, ACK — гэта доказ адказу, а не доказ выдзялення. Паведамленне, якое яму папярэднічала, вырашае, якое пытанне было зададзена. Спачатку прачытайце радок запыту, і астатняя частка трасоўкі звычайна тлумачыць сябе сама.

Адкуль RRAS бярэ адрас

RRAS валодае рашэннем пра адрас VPN праз наладжаны метад прызначэння IPv4: або сервер DHCP, або статычны пул адрасоў. Калі пул статычны, то пул і ёсць размеркавальнікам, і рэзерваванне на асобным серверы DHCP нічога не вырашае ў гэтым сеансе. Абодва механізмы могуць суіснаваць у адной сетцы, не кантралюючы адзін аднаго.

Get-Command -Module RemoteAccess *IPAddress*

Знайдзіце дзейны метад прызначэння, перш чым шукаць прычыну ў адрасе. Калі гэта статычны пул, вобласць DHCP — няправільнае месца для пошуку. Каманда вышэй пералічвае камандлеты, даступныя ў вашай версіі, і гэтага дастаткова, каб знайсці наладу.

Што клас карыстальніка можа даказаць, а што не

Клас карыстальніка DHCP — гэта радок, які дасылае кліент, а не пацверджанае членства ў групе. Нават калі кліент дасылае яго і сервер прымяняе да яго палітыку, метка даказвае толькі тое, што радок дайшоў. RFC 3004 проста кажа, што гэты параметр не пацвярджае права на клас.

Не чакайце, што імя карыстальніка VPN, ідэнтыфікатар групы бяспекі або Ethernet-адрас ноўтбука з'явіцца ў гэтым запыце ў прыдатным выглядзе. Гэта факты аўтэнтыфікацыі і каталога, і запыт DHCP не нясе ні таго, ні іншага. Калі патрэбна адрозніваць дазволеных людзей, рабіце гэта ў палітыцы VPN, дзе ідэнтычнасць сапраўды існуе. Менавіта гэтае раздзяленне трымае дзве сістэмы незалежнымі.

Параўноўвайце доказы, а не ACK

Будуйце ланцуг доказаў замест чытання аднаго пакета. Запішыце адрас, які атрымаў сеанс, тып і палі запыту, параметры, якія вярнуў сервер, і фактычную канфігурацыю кліента пасля. Кожнае звяно адказвае на іншае пытанне, і сапраўдная непаладка звычайна сядзіць у адсутным звяне.

Get-DhcpServerv4OptionValue -ScopeId 10.90.0.0

Калі адрас прыйшоў з пула RRAS, рэзерваванне DHCP нічога не тлумачыць. Калі параметры прыйшлі, але кліент іх праігнараваў, сервер зрабіў сваю працу, і наступны крок — канфігурацыя кліента. Параўнайце гэтыя два вынікі яўна, і ACK перастане быць двухсэнсоўным. Дзве трасоўкі, па адной на кожны метад прызначэння, закрываюць спрэчку хутчэй за любую дакументацыю.