Pa gyfeiriad rydych chi'n ei gofrestru fel cleient RADIUS NPS?

Mae porth VPN sy'n trosglwyddo dilysu i Windows NPS angen un gwrthrych ar ochr NPS cyn y gall unrhyw bolisi defnyddiwr redeg: cofnod cleient RADIUS ar gyfer y porth. Mae'r rhan fwyaf o'r ymgeisiau aflwyddiannus yn cofrestru'r cyfeiriad anghywir, oherwydd y cyfeiriad sy'n bwysig yw'r un y mae'r porth yn ei ddefnyddio ar ei lwybr cefn, nid yr enw gwesteiwr y mae staff yn ei deipio i'w ap VPN. Os bydd y gwerth hwnnw'n anghywir, mae NPS yn taflu'r cais yn dawel, sy'n edrych fel cyfrinair gwael o ochr y cleient. Mae tri amod yn penderfynu pa gyfeiriad sy'n perthyn i'r maes, felly datryswch nhw cyn agor y consol.

Cofrestrwch y porth, nid y gliniaduron na'r pwll

Mae'r gwrthrych cleient RADIUS yn cynrychioli'r ddyfais mynediad rhwydwaith sy'n anfon ceisiadau dilysu. Y porth VPN yw hwnnw, nid pob gliniadur sy'n rhedeg y cleient, ac nid yr ystod o gyfeiriadau a roddir y tu mewn i dwneli.

Nid yw'r cyfeiriadau twnnel hynny byth yn ymddangos fel ffynhonnell cais RADIUS, oherwydd mae'r cais yn teithio ar hyd llwybr rhwydwaith y porth ei hun. Mae cofrestru cofnod pwll cleientiaid yn cynhyrchu polisi na all byth gyd-fynd, tra bo'r cais go iawn yn cyrraedd o gyfeiriad nad yw NPS erioed wedi clywed amdano. Mae'r un dryswch yn arwain pobl i ychwanegu IP cartref pob gweithiwr, sy'n ambosibl ei gynnal ac yn anghywir ar yr un pryd.

Mae tri amod yn penderfynu'r cyfeiriad rydych chi'n ei nodi

Yn gyntaf, darganfyddwch y cyfeiriad ffynhonnell y mae'r porth yn ei ddefnyddio tuag at NPS. Yn aml mae porth â sawl rhyngwyneb yn anfon o ryngwyneb rheoli neu gefn yn hytrach na'i wrandawr VPN cyhoeddus. Yn ail, gwiriwch a oes NAT rhwng y ddau: os yw'r cais yn cael ei gyfieithu, mae NPS yn gweld y cyfeiriad cyfieithiedig, a dyna'r gwerth i'w gofrestru. Yn drydydd, os yw dau borth yn rhannu'r rôl, mae angen cofnod cleient ei hun ar bob ffynhonnell cais, oherwydd dim ond un ohonynt y mae un gwrthrych ag un cyfeiriad yn ei gwmpasu.

Mae cofnod dau ben yn cadw'r pâr yn syth. Mae'r tabl isod yn defnyddio cyfeiriadau preifat er enghraifft, felly rhoddwch y rhai y mae eich llwybr yn eu defnyddio mewn gwirionedd yn eu lle.

Cadarnhewch y ffynhonnell yn lle ei dyfalu. Gwyliwch log NPS neu'r mur gwarchod yn ystod un ymgais, neu cipiwch ar y gwesteiwr NPS gyda sudo tcpdump -ni any udp port 1812. Y cyfeiriad yn y cipiad hwnnw yw'r unig ateb amddiffynadwy ar gyfer y cofnod cleient. Os oes gan y porth sawl ffynhonnell bosibl, cofrestrwch bob un o dan ei enw cyfeillgar ei hun.

Gwerth rhwng y porth a NPS yw'r gyfrinach a rennir

Mae'r gyfrinach a rennir yn dilysu'r berthynas rhwng y dyfeisiau. Nid cyfrinair defnyddiwr yw hi ac ni chaiff byth ei dosbarthu i staff na'i mewnosod mewn proffiliau cleient.

Dewiswch un gwerth, nodwch ef yn y ddau le, a'i storio lle mae copi wrth gefn cyfluniad y porth yn byw. Mae anghysondeb yn cynhyrchu cais y mae NPS yn ei ollwng heb wall defnyddiol, ac ni ellir ei wahaniaethu oddi wrth weinydd anghyraeddadwy yn log y porth. Cylchdroewch ef yn ystod ffenestr gynnal a chadw a diweddarwch y ddau ben yn yr un newid.

Cadarnhewch ag un cais a ganiateir

Defnyddiwch gyfrif a reolir a chyfelwch un ymgais ar y ddwy ochr. Ar y porth, cadarnhewch fod y cais wedi gadael tuag at y gweinydd bwriadedig; ar NPS, cadarnhewch iddo gyrraedd o'r cleient cofrestredig ac wedi cyfateb i'r polisi cais cysylltiad a ddisgwylid. Mae terfyn amser a gwrthodiad yn golygu pethau gwahanol, ac mae trin y ddau fel problem gymwysterau yn gwastraffu'r awr nesaf. Yna profwch gyfrif dilys ond anghymwys a chyfrinair anghywir, oherwydd mae polisi sy'n derbyn popeth yn pasio'r prawf cyntaf hefyd.

Yn olaf, gwiriwch beth mae'r porth yn ei wneud â'r awdurdodiad a ddychwelwyd. Dim ond caniatáu i'r ddyfais gymryd rhan y mae cofrestru cleient RADIUS; nid yw'n rhoi mynediad i'r LAN i bob sesiwn sy'n deillio o hynny.

Cadwch allbwn diagnostig yn gyfyngedig: dim cyfrinachau a rennir, dim cyfrineiriau defnyddwyr, dim llwythi pecyn llawn mewn tocyn cymorth. Os yw'r dyluniad yn galw am i'r gweinydd NPS ddarllen priodoleddau'r cyfeiriadur, mae'r caniatâd hwnnw'n dasg weinyddol ar wahân i gofrestru'r cleient, ac mae'n methu mewn ffordd wahanol pan fydd ar goll.