Stabilní adresa VPN klienta pomocí Framed-IP-Address v RADIUS

RADIUS může odpovědět adresou pro daného uživatele; zda ji tunel skutečně dostane, závisí na bráně. Právě v této mezeře mezi vráceným a uplatněným selhává většina plánů stabilních adres. Atribut v testovací odpovědi dokazuje, že jej server umí poslat, ne že jej služba vzdáleného přístupu uplatní. Následující postup ověří obě poloviny dřív, než adresa skončí v pravidlech firewallu.

Určete, která vrstva adresu vlastní

Brány vzdáleného přístupu mají obvykle lokální pool a mnohé umějí přijmout adresu i z autentizační odpovědi. Která vyhraje, závisí na platformě, protokolu a konfiguraci služby, proto si přečtěte pravidlo priority pro přesně používanou verzi. Kde má lokální pool přednost, je atribut jen ozdoba a klient přesto skončí na náhodné adrese. Rozhodnutí zapište, včetně toho, zda vrácená hodnota musí ležet v rozsahu poolu, nebo smí být mimo něj.

RFC 2865 definuje Framed-IP-Address jako adresu, která má být pro uživatele nastavena, a neříká nic o ochotě konkrétní brány ji respektovat. Autoritou pro prioritu je dokumentace výrobce, ne definice atributu.

Pošlete testovací požadavek a přečtěte odpověď

Nejprve otestujte server izolovaně, aby chybějící atribut nebyl zaměněn za problém brány. radtest odešle jeden Access-Request a vypíše atributy, které se vrátí.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Hledejte Framed-IP-Address v Access-Accept a potvrďte, že hodnota je zamýšlená, nikoli adresa poolu ze záložního pravidla. Když atribut chybí, položka uživatele nebo autorizační politika nesedí a ladění brány nemůže dodat to, co server nikdy neposlal. Pokud se odpověď obtížně přiřazuje konkrétnímu pravidlu, požadavek zopakujte, dokud server běží v režimu ladění. Sdílený klíč držte mimo historii shellu a tikety, protože zástupný text výše není přihlašovací údaj.

Potvrďte, že brána hodnotu respektovala

Správná odpověď je jen polovina smlouvy. Adresa, která se objeví na rozhraní tunelu, je pozorování, na kterém záleží, a čte se na klientovi, místo aby se odvozovala z konfigurace brány.

ip -4 addr show tun0

Porovnejte tuto adresu s atributem z Access-Accept. Neshoda znamená, že brána hodnotu ignorovala nebo přepsala, což znovu otevírá otázku priority z první části. Připojte se ještě jednou, protože rezervace, která funguje jen na první pokus, obvykle ukazuje na zastaralou relaci nebo pronájem, který stále drží předchozí spojení. Poznamenejte verzi brány a protokol vedle výsledku, aby další člověk poznal, zda je chování specifické pro verzi.

Naplánujte souběžnost a odvolání

Jedno uživatelské jméno na dvou zařízeních nelze namapovat na jednu adresu, pokud brána nerozliší relace něčím jiným než přihlášením. Rozhodněte, zda mapování patří osobě, zapsanému zařízení, nebo identitě certifikátu, a tuto volbu v úložišti politik výslovně uveďte. Otestujte druhého souběžného klienta a porovnejte obě přidělené adresy, protože kolize se zde později vrací jako chyba směrování. Stejná péče patří i do plánu odvolání, protože adresa přidělená znovu, zatímco na ni stará pravidla firewallu stále odkazují, se změní v chybu autorizace.

Stabilní adresování zjednodušuje pravidla i záznamy, ale nikdy nedokáže, kdo paket vytvořil. Autentizace a autorizace cíle zůstávají důležité, když tato adresa později přejde na jinou relaci.