IP VPN sefydlog: Framed-IP-Address RADIUS neu gadwraeth yn y pwll

Gall tri lle ddal cyfeiriad mewnol sefydlog ar gyfer cleient VPN, a dim ond un ohonynt ddylai fod yn berchen arno. Gall RADIUS ddychwelyd y cyfeiriad mewn Access-Accept, gall y giât gadw mapio statig ar gyfer y cyfrif, a gellir gosod addasydd y cleient â llaw. Polisi yw’r ddau gyntaf a dyfaliad lleol yw’r trydydd y mae’r giât yn rhydd i’w anwybyddu neu ei drosysgrifennu. Dewis rhwng y ddau gyntaf yw’r penderfyniad go iawn, ac mae’n dibynnu ar yr hyn y mae’r gweinydd mynediad rhwydwaith yn ei weithredu mewn gwirionedd.

Tri lle y gall cyfeiriad sefydlog fyw

Mae RADIUS yn berchen ar y cyfeiriad pan fo’r ateb yn cario Framed-IP-Address ac mae’r giât yn cymhwyso’r gwerth hwnnw i’r sesiwn. Mae’r giât yn berchen arno pan fo gweinyddwr yn mapio’r cyfrif i gyfeiriad statig o fewn y pwll. Nid yw’r cleient yn berchen ar ddim, hyd yn oed pan fo ei addasydd yn dangos cyfeiriad â llaw, oherwydd mae’r gweinydd yn neilltuo’r cyfeiriad mewnol yn ystod y trafodaethau ac mae lleoliad lleol yn bwysig yn unig pan nad yw’r gweinydd yn anfon dim. Mae’r tri yn edrych yn union yr un fath ar gysylltiad sy’n gweithio, a dyna pam mae gwrthdaro’n dod i’r wyneb yn hwyr. Mae’r gwahaniaeth yn ymddangos wrth ailgysylltu, ar ail ddyfais ac ar ôl newid polisi.

Dau berchennog yw’r ffurfweddiad sy’n torri. Mae ateb RADIUS yn neilltuo 172.28.4.77 tra bo’r giât yn dal mapio statig ar gyfer 172.28.4.90 yn rhoi pa bynnag werth y mae cod y gwerthwr yn ei wirio gyntaf, a thaflir y collwr heb linell yn y log. Yna mae’r un cyfrif ar ail ddyfais yn derbyn cyfeiriad dyblyg, ac mae’r symptom yn darllen fel nam llwybro yn hytrach na gwrthdaro neilltuo. Setlwch y perchennog cyn i chi ychwanegu’r ail fecanwaith.

Mae’r opsiwn ar ochr y cleient yn werth ei enwi dim ond er mwyn ei ddiystyru. Mae cyfeiriad addasydd â llaw yn ddewisiad y gall y system weithredu ei gyflwyno, nid yn gadwraeth, ac ni all atal sesiwn arall rhag derbyn yr un cyfeiriad.

Beth all ateb RADIUS ei addo a beth na all

RFC 2865yn diffinio Framed-IP-Address fel y cyfeiriad IPv4 i’w ffurfweddu ar gyfer y defnyddiwr, ac mae’n perthyn i Access-Accept. Dim ond awgrym yw’r un priodwedd yn Access-Request y gall y gweinydd ei anwybyddu, sy’n bwysig pan fo cleient neu giât yn cynnig cyfeiriad a ffefrir. Nid oes dim yn y protocol yn gorfodi’r giât i anrhydeddu’r ateb, oherwydd y gweinydd mynediad rhwydwaith yw’r gydran sy’n ei gymhwyso i’r sesiwn.

Mater cynnyrch yn hytrach na mater protocol yw cefnogaeth. Mae rhai gatiau yn cymhwyso cyfeiriadau ffrâm yn awtomatig, mae angen i eraill droi swits ar lefel grŵp ymlaen cyn y byddant yn gwneud hynny, ac mae eraill yn derbyn y briodwedd ac yn byth yn ei defnyddio ar gyfer sesiynau mynediad o bell. Yr achos olaf hwnnw yw’r un peryglus, oherwydd gall y cofnod cyfrifo ddangos yr ateb tra bo’r cleient yn derbyn cyfeiriad pwll. Cadarnhewch yr ymddygiad ar yr union fodel giât a’r firmware rydych yn ei redeg, nid ar ddogfennaeth cynnyrch chwaer.

Mae ateb y mae’r giât yn ei anwybyddu yn edrych yn union fel ateb na chafodd ei anfon erioed. Darllen yr Access-Accept a chyfeiriad y sesiwn ochr yn ochr yw’r unig ffordd i wahanu’r ddau achos.

Cadwch y cyfeiriad y tu mewn i’r pwll rydych yn ei lwybro’n barod

Dewiswch y cyfeiriad sefydlog o is-rwydwaith y pwll y mae’r giât yn ei lwybro’n barod ac y mae’r wal dân yn ymddiried ynddi’n barod. Mae cyfeiriad y tu allan i’r amrediad hwnnw yn troi newid polisi yn brosiect llwybro, a bydd y VPN yn codi tra na all dim y tu ôl iddo ateb. Os oes rheolau mynediad fesul cyfeiriad, ychwanegwch y cyfeiriad sefydlog atynt yn yr un newid.

Penderfynwch beth ddylai ail sesiwn ar yr un pryd ei wneud. Nid rheoli dyfeisiau yw neilltuo un cyfeiriad ddwywaith, ac mae’r gwrthdaro sy’n deillio yn ymddangos fel cysylltedd ysbeidiol i’r ddwy sesiwn. Naill ai cyhoeddwch hunaniaethau gwahanol fesul dyfais, neu neilltuadau gwahanol, neu gorfodwch gydrediad gyda gwiriad a gefnogir, megis Simultaneous-Use, yn hytrach na gobeithio na fydd y cleient byth yn ailgysylltu cyn i’r hen sesiwn ddod i ben.

Mae llwybrau dychwelyd yn haeddu’r un sylw â’r neilltuad. Mae angen llwybr i’r pwll ar y giât, mae angen llwybr yn ôl i’r giât ar y llwybryddion mewnol, ac mae’r cyfeiriad sefydlog yn etifeddu’r ddau. Mae un cleient sy’n gweithio tra bo pawb arall yn methu fel arfer yn golygu bod llwybr y pwll yn bodoli ond nad yw’r llwybr gwesteiwr ar gyfer y cyfeiriad a gadwyd yn bodoli.

Profwch yr ateb cyn i chi ymddiried yn y gadwraeth

Profwch ochr AAA ac ochr y sesiwn ar wahân, oherwydd maent yn methu am wahanol resymau. Mae radtest lleol yn dangos beth mae’r gweinydd yn ei ddychwelyd ar gyfer y cyfrif heb gynnwys y giât, ac mae’r cofnod yn y ffeil defnyddwyr yn dangos â beth y dylai’r gweinydd gyfateb. Yna ailgysylltwch y cleient a chymharu’r cyfeiriad a gafodd â’r briodwedd yn yr ateb.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Mae Access-Accept heb y briodwedd yn golygu na chyfatebodd y gweinydd y cofnod neu na chafodd y briodwedd ei chymhwyso i’r defnyddiwr hwnnw. Mae Access-Accept gyda’r briodwedd a chleient sy’n dal i dderbyn cyfeiriad pwll yn golygu bod y giât wedi ei anwybyddu. Mae Access-Reject yn eich anfon yn ôl at y manylion mewngofnodi neu’r polisi grŵp, ac ni ddylid dadfygio’r un o’r canlyniadau hyn trwy olygu addasydd y cleient.

Ailadroddwch y gwiriad ar ôl ailgysylltu ac ar ôl ail fewngofnodi o ddyfais arall. Mae cadwraeth sy’n dal dim ond ar gyfer y sesiwn gyntaf yn wrthdaro pwll sy’n aros i ddigwydd, ac mae’n rhatach dod o hyd iddo nawr nag yn ystod archwiliad.

Dewiswch un perchennog a’i ysgrifennu i lawr

Os yw’r giât yn cymhwyso cyfeiriadau ffrâm yn ddibynadwy, gadewch i RADIUS fod yn berchen ar y neilltuad a dileu unrhyw fapio statig ar gyfer yr un cyfrif. Os nad yw, gadewch i’r giât fod yn berchen arno a dileu’r briodwedd o’r ateb, fel na all y ddau ffynhonnell anghytuno. Mae cadw’r ddau oherwydd bod pob un bron yn gweithio yn gwarantu sesiwn yn y dyfodol gyda’r cyfeiriad anghywir a heb achos amlwg.

Ysgrifennwch y perchennog a ddewiswyd, y cyfeiriad a gadwyd a’r pwll y daeth ohono yng nghofnod y cyfrif. Yna gall y person nesaf sy’n ychwanegu dyfais weld a yw’r cyfeiriad yn bolisi AAA neu’n fapio giât cyn newid y naill neu’r llall.