Stabilna adresa VPN klijenta pomoću Framed-IP-Address u RADIUS-u

RADIUS može odgovoriti adresom za datog korisnika; da li je tunel zaista prima zavisi od pristupnika. Upravo u tom razmaku između vraćenog i primijenjenog propadaju mnogi planovi stabilnih adresa. Atribut u probnom odgovoru dokazuje da ga server može poslati, ne da ga usluga daljinskog pristupa primjenjuje. Slijed ispod provjerava obje polovine prije nego adresa završi u pravilima zaštitnog zida.

Odredite koji sloj posjeduje adresu

Pristupnici za daljinski pristup obično imaju lokalni bazen, a mnogi mogu prihvatiti i adresu iz odgovora autentikacije. Koji će pobijediti zavisi od platforme, protokola i konfiguracije usluge, pa pročitajte pravilo prioriteta za tačno izdanje koje koristite. Gdje lokalni bazen ima prednost, atribut je samo ukras i klijent ipak dobije slučajnu adresu. Zapišite odluku, uključujući i to mora li vraćena vrijednost biti unutar raspona bazena ili smije biti izvan njega.

RFC 2865 definira Framed-IP-Address kao adresu koju treba konfigurisati za korisnika i ne govori ništa o spremnosti bilo kojeg pristupnika da je poštuje. Dokumentacija proizvođača je autoritet za prioritet, ne definicija atributa.

Pošaljite probni zahtjev i pročitajte odgovor

Prvo testirajte server izolovano, da se nedostajući atribut ne zamijeni s problemom pristupnika. radtest šalje jedan Access-Request i ispisuje atribute koji se vraćaju.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Tražite Framed-IP-Address u Access-Accept i potvrdite da je vrijednost željena, a ne adresa bazena iz rezervnog pravila. Kad atribut izostane, unos korisnika ili politika autorizacije se ne poklapaju i podešavanje pristupnika ne može dati ono što server nikad nije poslao. Ponovite zahtjev dok server radi u režimu otklanjanja grešaka ako je odgovor teško povezati s konkretnim pravilom. Držite zajedničku tajnu izvan historije ljuske i tiketa, jer gornji rezervisani tekst nije vjerodajnica.

Potvrdite da je pristupnik poštovao vrijednost

Ispravan odgovor je samo polovina ugovora. Adresa koja se pojavi na interfejsu tunela je zapažanje koje je važno i čita se na klijentu, a ne izvodi iz konfiguracije pristupnika.

ip -4 addr show tun0

Uporedite tu adresu s atributom iz Access-Accept. Neslaganje znači da je pristupnik zanemario ili prepisao vrijednost, što ponovo otvara pitanje prioriteta iz prvog odjeljka. Povežite se još jednom, jer rezervacija koja radi samo iz prvog pokušaja obično ukazuje na zastarjelu sesiju ili najam koji prethodna veza još drži. Zapišite izdanje pristupnika i protokol pored rezultata, da sljedeća osoba može procijeniti je li ponašanje specifično za verziju.

Planirajte istovremenost i opoziv

Jedno korisničko ime na dva uređaja ne može se preslikati na jednu adresu osim ako pristupnik ne razlikuje sesije po nečemu izvan prijave. Odlučite pripada li preslikavanje osobi, evidentiranom uređaju ili identitetu certifikata i učinite taj izbor eksplicitnim u spremištu politika. Testirajte drugog istovremenog klijenta i uporedite obje dodijeljene adrese, jer se sukob ovdje kasnije vraća kao greška usmjeravanja. Ista briga pripada i planu opoziva, jer adresa dodijeljena iznova dok stara pravila zaštitnog zida još pokazuju na nju postaje greška autorizacije.

Stabilno adresiranje pojednostavljuje pravila i zapise, ali nikad ne dokazuje ko je stvorio paket. Autentikacija i autorizacija odredišta i dalje su važne kad ta adresa kasnije pređe na drugu sesiju.