RRAS DHCP: ny adresse eller bare konfigurationsindstillinger?

At læse en DHCPACK i en optagelse som bevis for, at VPN-klienten fik sin adresse fra DHCP, er en fejl. Normalt beviser det kun, at en eller anden DHCP-besked blev besvaret. Windows RRAS kan uddele sessionsadresser fra sin egen statiske pulje, mens DHCP stadig leverer indstillinger til den tilsluttede klient. Anmodningstypen fortæller dig, hvilken af de to opgaver der var i gang.

To opgaver der deler en beskedtype

DHCP gør to separate ting, og de deler beskedtyper. Den ene er at tildele en adresse og en leje. Den anden er at levere konfiguration til en vært, der allerede har en adresse, hvilket RFC 2131 kalder DHCPINFORM. Svaret i det andet tilfælde bærer indstillinger og ingen lejetid.

Så en ACK er bevis for et svar, ikke bevis for en tildeling. Beskeden før den afgør, hvilket spørgsmål der blev stillet. Læs anmodningslinjen først, og resten af sporet forklarer som regel sig selv.

Hvor RRAS får adressen fra

RRAS ejer VPN-adressebeslutningen gennem sin konfigurerede IPv4-tildelingsmetode: enten en DHCP-server eller en statisk adressepulje. Når puljen er statisk, er puljen tildeleren, og en reservation på en separat DHCP-server har intet at sige i den session. De to mekanismer kan sameksistere på samme netværk, uden at nogen af dem styrer den anden.

Get-Command -Module RemoteAccess *IPAddress*

Find den gældende tildelingsmetode, før du fejlfinder adressen. Hvis det er en statisk pulje, er DHCP-området det forkerte sted at kigge. Kommandoen ovenfor viser de cmdletter, der findes på den version, du kører, og det er nok til at finde indstillingen.

Hvad en brugerklasse kan og ikke kan bevise

En DHCP-brugerklasse er en streng, klienten sender, ikke et godkendt gruppemedlemskab. Selv når en klient sender en, og serveren matcher en politik på den, beviser etiketten kun, at strengen ankom. RFC 3004 siger rent ud, at indstillingen ikke godkender retten til klassen.

Forvent ikke, at et VPN-brugernavn, en sikkerhedsgruppes identifikator eller laptopens Ethernet-adresse dukker op i den anmodning i en brugbar form. Det er fakta om godkendelse og katalog, og DHCP-anmodningen bærer ingen af delene. Hvis kravet er at skelne autoriserede personer, så håndhæv det i VPN-politikken, hvor identiteten faktisk findes. Den adskillelse er grunden til, at de to systemer forbliver uafhængige.

Sammenlign beviserne, ikke ACK

Byg beviskæden i stedet for at læse én pakke. Noter den adresse, sessionen fik, anmodningens beskedtype og felter, de indstillinger serveren returnerede, og klientens faktiske konfiguration bagefter. Hvert led besvarer et forskelligt spørgsmål, og det manglende led er der, hvor den egentlige fejl som regel sidder.

Get-DhcpServerv4OptionValue -ScopeId 10.90.0.0

Hvis adressen kom fra RRAS-puljen, forklarer en DHCP-reservation intet. Hvis indstillingerne ankom, men klienten ignorerede dem, gjorde serveren sit arbejde, og klientkonfigurationen er næste stop. Sammenlign de to udfald eksplicit, og ACK’en holder op med at være tvetydig. To spor, ét fra hver tildelingsmetode, afgør diskussionen hurtigere end nogen dokumentation.