Feste VPN-IP: RADIUS Framed-IP-Address oder eine Pool-Reservierung

Geben Sie einem VPN-Client eine feste innere Adresse: RADIUS Framed-IP-Address gegenüber einer Pool-Zuordnung am Gateway, und wie Sie testen, welche der beiden die Reservierung tatsächlich besitzt.

Drei Stellen können eine feste innere Adresse für einen VPN-Client halten, und nur eine davon sollte sie besitzen. RADIUS kann die Adresse in einem Access-Accept zurückgeben, das Gateway kann eine statische Zuordnung für das Konto führen, und der Client-Adapter kann von Hand gesetzt werden. Die ersten beiden sind Richtlinie, und die dritte ist eine lokale Vermutung, die das Gateway ignorieren oder überschreiben darf. Die Wahl zwischen den ersten beiden ist die eigentliche Entscheidung, und sie hängt davon ab, was der Netzwerkzugangsserver tatsächlich implementiert.

Drei Stellen, an denen eine feste Adresse leben kann

RADIUS besitzt die Adresse, wenn die Antwort Framed-IP-Address trägt und das Gateway diesen Wert auf die Sitzung anwendet. Das Gateway besitzt sie, wenn ein Administrator das Konto auf eine statische Adresse im Pool abbildet. Der Client besitzt nichts, selbst wenn sein Adapter eine manuelle Adresse anzeigt, weil der Server die innere Adresse während der Aushandlung zuweist und eine lokale Einstellung nur zählt, wenn der Server keine sendet. Alle drei sehen bei einer funktionierenden Verbindung gleich aus, weshalb Konflikte spät auftauchen. Der Unterschied zeigt sich beim erneuten Verbinden, auf einem zweiten Gerät und nach einer Richtlinienänderung.

Zwei Besitzer sind die Konfiguration, die bricht. Eine RADIUS-Antwort, die 172.28.4.77 zuweist, während das Gateway eine statische Zuordnung für 172.28.4.90 hält, liefert den Wert, den der Code des Herstellers zuerst prüft, und der Verlierer wird ohne Logzeile verworfen. Dasselbe Konto erhält auf einem zweiten Gerät dann eine doppelte Adresse, und das Symptom liest sich wie ein Routingfehler statt wie ein Zuordnungskonflikt. Legen Sie den Besitzer fest, bevor Sie den zweiten Mechanismus hinzufügen.

Die Client-Option ist nur erwähnenswert, damit man sie ausschließen kann. Eine manuelle Adapteradresse ist eine Präferenz, die das Betriebssystem anzeigen kann, keine Reservierung, und sie kann nicht verhindern, dass eine andere Sitzung dieselbe Adresse erhält.

Was die RADIUS-Antwort versprechen kann und was nicht

RFC 2865definiert Framed-IP-Address als die IPv4-Adresse, die für den Benutzer konfiguriert werden soll, und sie gehört in ein Access-Accept. Dasselbe Attribut in einem Access-Request ist nur ein Hinweis, den der Server ignorieren darf, was zählt, wenn ein Client oder Gateway eine bevorzugte Adresse anbietet. Nichts im Protokoll zwingt das Gateway, die Antwort zu befolgen, denn der Netzwerkzugangsserver ist die Komponente, die sie auf die Sitzung anwendet.

Unterstützung ist eine Produktfrage und keine Protokollfrage. Manche Gateways wenden gerahmte Adressen standardmäßig an, andere brauchen einen Schalter auf Gruppenebene, bevor sie es tun, und wieder andere akzeptieren das Attribut und nutzen es nie für Fernzugriffssitzungen. Der letzte Fall ist der gefährliche, weil der Abrechnungssatz die Antwort zeigen kann, während der Client eine Pool-Adresse erhält. Bestätigen Sie das Verhalten an genau dem Gateway-Modell und der Firmware, die Sie betreiben, nicht in der Dokumentation eines Schwesterprodukts.

Eine Antwort, die das Gateway ignoriert, sieht genau aus wie eine Antwort, die nie gesendet wurde. Das Access-Accept und die Sitzungsadresse nebeneinander zu lesen ist der einzige Weg, die beiden Fälle zu trennen.

Reservieren Sie die Adresse in dem Pool, den Sie bereits routen

Wählen Sie die feste Adresse aus dem Pool-Subnetz, das das Gateway bereits routet und dem die Firewall bereits vertraut. Eine Adresse außerhalb dieses Bereichs macht aus einer Richtlinienänderung ein Routingprojekt, und das VPN kommt hoch, während dahinter nichts antworten kann. Falls es Zugriffsregeln pro Adresse gibt, nehmen Sie die feste Adresse in derselben Änderung dort auf.

Entscheiden Sie, was eine zweite gleichzeitige Sitzung tun soll. Eine Adresse zweimal zuzuweisen ist keine Geräteverwaltung, und die entstehende Kollision erscheint als zeitweise Verbindung für beide Sitzungen. Vergeben Sie entweder unterschiedliche Identitäten pro Gerät, unterschiedliche Zuweisungen, oder erzwingen Sie Gleichzeitigkeit mit einer unterstützten Prüfung wie Simultaneous-Use, statt zu hoffen, dass der Client sich nie neu verbindet, bevor die alte Sitzung abläuft.

Rückwege verdienen dieselbe Aufmerksamkeit wie die Zuweisung. Das Gateway braucht eine Route zum Pool, die internen Router brauchen eine Route zurück zum Gateway, und die feste Adresse erbt beides. Ein einzelner Client, der funktioniert, während alle anderen scheitern, bedeutet meist, dass die Pool-Route existiert, die Host-Route für die reservierte Adresse aber nicht.

Testen Sie die Antwort, bevor Sie der Reservierung trauen

Testen Sie die AAA-Seite und die Sitzungsseite getrennt, weil sie aus unterschiedlichen Gründen scheitern. Ein lokaler radtest zeigt, was der Server für das Konto zurückgibt, ohne das Gateway einzubeziehen, und der Eintrag in der Benutzerdatei zeigt, womit der Server übereinstimmen soll. Verbinden Sie dann den Client neu und vergleichen Sie die erhaltene Adresse mit dem Attribut in der Antwort.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77
survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Ein Access-Accept ohne das Attribut bedeutet, dass der Server den Eintrag nicht getroffen hat oder das Attribut nicht auf diesen Benutzer angewendet wurde. Ein Access-Accept mit dem Attribut und ein Client, der weiterhin eine Pool-Adresse erhält, bedeutet, dass das Gateway es ignoriert hat. Ein Access-Reject schickt Sie zurück zu den Anmeldedaten oder der Gruppenrichtlinie, und keines dieser Ergebnisse sollte durch Bearbeiten des Client-Adapters debuggt werden.

Wiederholen Sie die Prüfung nach einem erneuten Verbinden und nach einer zweiten Anmeldung von einem anderen Gerät. Eine Reservierung, die nur für die erste Sitzung hält, ist ein Pool-Konflikt, der darauf wartet zu passieren, und es ist billiger, ihn jetzt zu finden als während eines Audits.

Wählen Sie einen Besitzer und schreiben Sie ihn auf

Wenn das Gateway gerahmte Adressen zuverlässig anwendet, lassen Sie RADIUS die Zuweisung besitzen und entfernen Sie jede statische Zuordnung für dasselbe Konto. Wenn nicht, lassen Sie das Gateway sie besitzen und entfernen Sie das Attribut aus der Antwort, damit die beiden Quellen nicht widersprechen können. Beides zu behalten, weil jedes fast funktioniert, garantiert eine künftige Sitzung mit der falschen Adresse und ohne offensichtliche Ursache.

Schreiben Sie den gewählten Besitzer, die reservierte Adresse und den Pool, aus dem sie stammt, in den Kontodatensatz. Die nächste Person, die ein Gerät hinzufügt, kann dann sehen, ob die Adresse eine AAA-Richtlinie oder eine Gateway-Zuordnung ist, bevor sie eines von beiden ändert.

Ähnliche Artikel