Quina adreça registreu com a client RADIUS de NPS?

Una passarel·la VPN que lliura l'autenticació a Windows NPS necessita un objecte a la banda de NPS abans que cap política d'usuari pugui funcionar: una entrada de client RADIUS per a la passarel·la. La majoria dels intents fallits registren l'adreça incorrecta, perquè l'adreça que importa és la que la passarel·la fa servir al seu camí de backend, no el nom d'amfitrió que el personal escriu a la seva aplicació VPN. Si equivoqueu aquest valor, NPS descarta la sol·licitud en silenci, cosa que des del costat del client sembla una contrasenya incorrecta. Tres condicions decideixen quina adreça pertany al camp, així que resoleu-les abans d'obrir la consola.

Registreu la passarel·la, no els portàtils ni el conjunt

L'objecte de client RADIUS representa el dispositiu d'accés a la xarxa que envia les sol·licituds d'autenticació. És la passarel·la VPN, no cada portàtil que executa el client, ni el rang d'adreces lliurades dins dels túnels.

Aquestes adreces de túnel mai no apareixen com a origen d'una sol·licitud RADIUS, perquè la sol·licitud viatja pel camí de xarxa propi de la passarel·la. Registrar una entrada de conjunt de clients produeix una política que mai no pot coincidir, mentre que la sol·licitud real arriba des d'una adreça que NPS no ha sentit mai. La mateixa confusió porta a afegir la IP domèstica de cada empleat, cosa que és alhora insostenible i incorrecta.

Tres condicions decideixen l'adreça que introduïu

Primer, trobeu l'adreça d'origen que la passarel·la fa servir realment cap a NPS. Una passarel·la amb diverses interfícies sovint envia des d'una interfície de gestió o de backend en lloc del seu oient VPN públic. Segon, comproveu si hi ha NAT entre les dues: si la sol·licitud es tradueix, NPS veu l'adreça traduïda, i aquest és el valor que cal registrar. Tercer, si dues passarel·les comparteixen el rol, cada origen de sol·licitud necessita la seva pròpia entrada de client, perquè un sol objecte amb una adreça només cobreix una d'elles.

Un registre de dos extrems manté la parella ordenada. La taula següent fa servir adreces privades com a il·lustració, així que substituïu-les per les que el vostre camí fa servir realment.

Confirmeu l'origen en lloc d'endevinar-lo. Observeu el registre de NPS o del tallafoc durant un intent, o captureu a l'amfitrió NPS amb sudo tcpdump -ni any udp port 1812. L'adreça d'aquesta captura és l'única resposta defensable per a l'entrada de client. Si la passarel·la té diversos orígens possibles, registreu cadascun amb el seu propi nom amigable.

El secret compartit és un valor entre la passarel·la i NPS

El secret compartit autentica la relació entre dispositius. No és una contrasenya d'usuari i mai no es distribueix al personal ni s'incrusta en perfils de client.

Trieu un valor, introduïu-lo als dos llocs i deseu-lo on viu la còpia de seguretat de la configuració de la passarel·la. Una discrepància produeix una sol·licitud que NPS descarta sense cap error útil, cosa que al registre de la passarel·la no es pot distingir d'un servidor inabastable. Roteu-lo durant una finestra de manteniment i actualitzeu els dos extrems en el mateix canvi.

Confirmeu-ho amb una sol·licitud permesa

Feu servir un compte controlat i correleu un sol intent als dos costats. A la passarel·la, confirmeu que la sol·licitud ha sortit cap al servidor previst; a NPS, confirmeu que ha arribat del client registrat i que ha coincidit amb la política de sol·licitud de connexió esperada. Un temps d'espera i un rebuig signifiquen coses diferents, i tractar tots dos com un problema de credencials fa perdre l'hora següent. Després proveu un compte vàlid però no elegible i una contrasenya incorrecta, perquè una política que ho accepta tot també passa la primera prova.

Finalment, comproveu què fa la passarel·la amb l'autorització retornada. Registrar un client RADIUS només permet que el dispositiu participi; no atorga a cada sessió resultant accés a la LAN.

Mantingueu la sortida de diagnòstic acotada: cap secret compartit, cap contrasenya d'usuari, cap càrrega completa de paquet en un tiquet de suport. Si el disseny requereix que el servidor NPS llegeixi atributs del directori, aquest permís és una tasca administrativa separada del registre del client, i quan falta falla d'una manera diferent.