IP fixa de VPN: Framed-IP-Address de RADIUS o una reserva al pool

Tres llocs poden tenir una adreça interna fixa per a un client VPN, i només un d’ells hauria de posseir-la. RADIUS pot retornar l’adreça en un Access-Accept, la passarel·la pot mantenir una assignació estàtica per al compte, i l’adaptador del client es pot configurar a mà. Els dos primers són política i el tercer és una suposició local que la passarel·la pot ignorar o sobreescriure lliurement. Triar entre els dos primers és la decisió real, i depèn del que implementi realment el servidor d’accés a la xarxa.

Tres llocs on pot viure una adreça fixa

RADIUS posseeix l’adreça quan la resposta porta Framed-IP-Address i la passarel·la aplica aquest valor a la sessió. La passarel·la la posseeix quan un administrador assigna el compte a una adreça estàtica dins del pool. El client no en posseeix res, ni tan sols quan el seu adaptador mostra una adreça manual, perquè el servidor assigna l’adreça interna durant la negociació i un paràmetre local només importa quan el servidor no n’envia cap. Tots tres semblen idèntics en una connexió que funciona, i per això els conflictes surten tard. La diferència es veu en reconnectar, en un segon dispositiu i després d’un canvi de política.

Dos propietaris és la configuració que es trenca. Una resposta de RADIUS que assigna 172.28.4.77 mentre la passarel·la manté una assignació estàtica per a 172.28.4.90 dóna el valor que el codi del proveïdor comprova primer, i el perdedor es descarta sense cap línia de registre. El mateix compte en un segon dispositiu rep llavors una adreça duplicada, i el símptoma es llegeix com una fallada d’encaminament en lloc d’un conflicte d’assignació. Resoleu el propietari abans d’afegir el segon mecanisme.

L’opció del costat del client val la pena nomenar-la només per poder descartar-la. Una adreça manual de l’adaptador és una preferència que el sistema operatiu pot presentar, no una reserva, i no pot impedir que una altra sessió rebi la mateixa adreça.

Què pot prometre la resposta de RADIUS i què no

RFC 2865defineix Framed-IP-Address com l’adreça IPv4 que s’ha de configurar per a l’usuari, i pertany a l’Access-Accept. El mateix atribut a l’Access-Request només és un indici que el servidor pot ignorar, cosa que importa quan un client o una passarel·la ofereix una adreça preferida. Res del protocol obliga la passarel·la a honorar la resposta, perquè el servidor d’accés a la xarxa és el component que l’aplica a la sessió.

El suport és una qüestió de producte i no de protocol. Algunes passarel·les apliquen adreces emmarcades per defecte, d’altres necessiten un commutador a nivell de grup abans de fer-ho, i d’altres accepten l’atribut i no l’utilitzen mai per a sessions d’accés remot. Aquest últim cas és el perillós, perquè el registre de comptabilitat pot mostrar la resposta mentre el client rep una adreça del pool. Confirmeu el comportament en el model exacte de passarel·la i el firmware que feu servir, no en la documentació d’un producte germà.

Una resposta que la passarel·la ignora sembla exactament una resposta que mai no es va enviar. Llegir l’Access-Accept i l’adreça de la sessió costat a costat és l’única manera de separar els dos casos.

Reserveu l’adreça dins del pool que ja encamineu

Trieu l’adreça fixa de la subxarxa del pool que la passarel·la ja encamina i en la qual el tallafoc ja confia. Una adreça fora d’aquest rang converteix un canvi de política en un projecte d’encaminament, i la VPN pujarà mentre res del darrere no podrà respondre. Si existeixen regles d’accés per adreça, afegiu-hi l’adreça fixa en el mateix canvi.

Decidiu què ha de fer una segona sessió simultània. Assignar una adreça dues vegades no és gestió de dispositius, i la col·lisió resultant apareix com a connectivitat intermitent per a totes dues sessions. O bé emeteu identitats diferents per dispositiu, o bé assignacions diferents, o bé forceu la simultaneïtat amb una comprovació suportada, com ara Simultaneous-Use, en lloc d’esperar que el client no es reconnecti mai abans que caduqui la sessió antiga.

Les rutes de retorn mereixen la mateixa atenció que l’assignació. La passarel·la necessita una ruta cap al pool, els encaminadors interns necessiten una ruta de tornada a la passarel·la, i l’adreça fixa hereta totes dues. Un sol client que funciona mentre tots els altres fallen normalment vol dir que la ruta del pool existeix però la ruta d’amfitrió per a l’adreça reservada no.

Proveu la resposta abans de confiar en la reserva

Proveu el costat AAA i el costat de la sessió per separat, perquè fallen per motius diferents. Un radtest local mostra què retorna el servidor per al compte sense implicar la passarel·la, i l’entrada del fitxer d’usuaris mostra amb què el servidor ha de coincidir. Després reconnecteu el client i compareu l’adreça que ha rebut amb l’atribut de la resposta.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Un Access-Accept sense l’atribut significa que el servidor no ha trobat l’entrada o que l’atribut no s’ha aplicat a aquell usuari. Un Access-Accept amb l’atribut i un client que encara rep una adreça del pool significa que la passarel·la l’ha ignorat. Un Access-Reject us torna a les credencials o a la política de grup, i cap d’aquests resultats no s’ha de depurar editant l’adaptador del client.

Repetiu la comprovació després de reconnectar i després d’un segon inici de sessió des d’un altre dispositiu. Una reserva que només aguanta la primera sessió és un conflicte de pool a punt de passar, i és més barat trobar-lo ara que durant una auditoria.

Trieu un sol propietari i escriviu-lo

Si la passarel·la aplica les adreces emmarcades de manera fiable, deixeu que RADIUS posseeixi l’assignació i elimineu qualsevol assignació estàtica per al mateix compte. Si no ho fa, deixeu que la posseeixi la passarel·la i traieu l’atribut de la resposta, perquè les dues fonts no puguin discrepar. Mantenir totes dues perquè cadascuna gairebé funciona garanteix una sessió futura amb l’adreça equivocada i sense causa òbvia.

Escriviu el propietari triat, l’adreça reservada i el pool d’on prové al registre del compte. La propera persona que afegeixi un dispositiu podrà veure si l’adreça és una política AAA o una assignació de la passarel·la abans de canviar-ne qualsevol de les dues.