Adreça de client VPN estable amb Framed-IP-Address de RADIUS

RADIUS pot respondre amb una adreça per a un usuari determinat; que el túnel la rebi realment depèn de la passarel·la. És en aquesta distància entre el que es retorna i el que s’aplica on fallen la majoria de plans d’adreces estables. Un atribut en una resposta de prova demostra que el servidor el pot enviar, no que el servei d’accés remot l’apliqui. La seqüència següent comprova les dues meitats abans que l’adreça arribi a les regles del tallafoc.

Decidiu quina capa posseeix l’adreça

Les passarel·les d’accés remot solen tenir un pool local, i moltes també poden acceptar una adreça de la resposta d’autenticació. Quina guanya depèn de la plataforma, del protocol i de la configuració del servei, així que llegiu la regla de precedència per a la versió exacta que feu servir. On el pool local té prioritat, l’atribut és decoratiu i el client acaba igualment en una adreça aleatòria. Anoteu la decisió, incloent-hi si un valor retornat ha de quedar dins del rang del pool o pot quedar-ne fora.

L’RFC 2865 defineix Framed-IP-Address com l’adreça que s’ha de configurar per a l’usuari i no diu res sobre la voluntat de cap passarel·la concreta de respectar-la. La documentació del fabricant és l’autoritat sobre la precedència, no la definició de l’atribut.

Envieu una petició de prova i llegiu la resposta

Proveu primer el servidor aïllat, perquè un atribut absent no es confongui amb un problema de la passarel·la. radtest envia una Access-Request i imprimeix els atributs que tornen.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Cerqueu Framed-IP-Address a l’Access-Accept i confirmeu que el valor és el previst i no una adreça del pool d’una regla de reserva. Quan l’atribut falta, l’entrada d’usuari o la política d’autorització no coincideixen, i l’ajust de la passarel·la no pot aportar el que el servidor no ha enviat mai. Repetiu la petició mentre el servidor s’executa en mode de depuració si la resposta costa d’atribuir a una regla concreta. Mantingueu el secret compartit fora de l’historial de l’intèrpret i dels tiquets, perquè el marcador de dalt no és una credencial.

Confirmeu que la passarel·la ha respectat el valor

Una resposta correcta és només la meitat del contracte. L’adreça que apareix a la interfície del túnel és l’observació que importa, i es llegeix al client en lloc d’inferir-se de la configuració de la passarel·la.

ip -4 addr show tun0

Compareu aquesta adreça amb l’atribut de l’Access-Accept. Una discrepància vol dir que la passarel·la ha ignorat o reescrit el valor, cosa que reobre la qüestió de precedència de la primera secció. Torneu a connectar un cop més, perquè una reserva que només funciona al primer intent sol apuntar a una sessió obsoleta o a un arrendament que encara té la connexió anterior. Anoteu la versió de la passarel·la i el protocol al costat del resultat, perquè la propera persona pugui dir si el comportament és específic de la versió.

Planifiqueu la simultaneïtat i la revocació

Un nom d’usuari en dos dispositius no pot correspondre a una sola adreça tret que la passarel·la distingeixi les sessions per alguna cosa més enllà de l’inici de sessió. Decidiu si la correspondència pertany a una persona, a un dispositiu registrat o a la identitat d’un certificat, i feu aquesta tria explícita al magatzem de polítiques. Proveu un segon client simultani i compareu les dues adreces assignades, perquè una col·lisió aquí reapareix més tard com a fallada d’encaminament. La mateixa cura cal al pla de revocació, perquè una adreça reassignada mentre regles antigues del tallafoc encara hi fan referència es converteix en un error d’autorització.

L’adreçament estable simplifica regles i registres, però no demostra mai qui ha generat un paquet. L’autenticació i l’autorització de destinació encara importen quan aquesta adreça passa més tard a una altra sessió.