Σταθερή IP VPN: Framed-IP-Address στο RADIUS ή δέσμευση στη δεξαμενή

Τρία σημεία μπορούν να κρατούν μια σταθερή εσωτερική διεύθυνση για έναν πελάτη VPN, και μόνο ένα από αυτά θα έπρεπε να την κατέχει. Το RADIUS μπορεί να επιστρέψει τη διεύθυνση σε ένα Access-Accept, η πύλη μπορεί να κρατά μια στατική αντιστοίχιση για τον λογαριασμό, και ο προσαρμογέας του πελάτη μπορεί να ρυθμιστεί με το χέρι. Τα δύο πρώτα είναι πολιτική και το τρίτο είναι μια τοπική εικασία που η πύλη είναι ελεύθερη να αγνοήσει ή να αντικαταστήσει. Η επιλογή ανάμεσα στα δύο πρώτα είναι η πραγματική απόφαση, και εξαρτάται από το τι υλοποιεί πραγματικά ο διακομιστής πρόσβασης δικτύου.

Τρία σημεία όπου μπορεί να ζει μια σταθερή διεύθυνση

Το RADIUS κατέχει τη διεύθυνση όταν η απάντηση φέρει Framed-IP-Address και η πύλη εφαρμόζει αυτή την τιμή στη συνεδρία. Η πύλη την κατέχει όταν ένας διαχειριστής αντιστοιχίζει τον λογαριασμό σε μια στατική διεύθυνση μέσα στη δεξαμενή. Ο πελάτης δεν κατέχει τίποτα, ακόμη και όταν ο προσαρμογέας του δείχνει μια χειροκίνητη διεύθυνση, επειδή ο διακομιστής εκχωρεί την εσωτερική διεύθυνση κατά τη διαπραγμάτευση και μια τοπική ρύθμιση έχει σημασία μόνο όταν ο διακομιστής δεν στέλνει καμία. Και τα τρία φαίνονται ίδια σε μια σύνδεση που λειτουργεί, γι’ αυτό οι συγκρούσεις εμφανίζονται αργά. Η διαφορά φαίνεται στην επανασύνδεση, σε μια δεύτερη συσκευή και μετά από αλλαγή πολιτικής.

Δύο ιδιοκτήτες είναι η διαμόρφωση που σπάει. Μια απάντηση RADIUS που εκχωρεί 172.28.4.77 ενώ η πύλη κρατά στατική αντιστοίχιση για 172.28.4.90 δίνει όποια τιμή ελέγξει πρώτα ο κώδικας του κατασκευαστή, και ο χαμένος απορρίπτεται χωρίς γραμμή στο αρχείο καταγραφής. Ο ίδιος λογαριασμός σε μια δεύτερη συσκευή λαμβάνει τότε διπλή διεύθυνση, και το σύμπτωμα διαβάζεται ως βλάβη δρομολόγησης και όχι ως σύγκρουση εκχώρησης. Καθορίστε τον ιδιοκτήτη πριν προσθέσετε τον δεύτερο μηχανισμό.

Η επιλογή από την πλευρά του πελάτη αξίζει να αναφερθεί μόνο για να αποκλειστεί. Μια χειροκίνητη διεύθυνση προσαρμογέα είναι μια προτίμηση που το λειτουργικό σύστημα μπορεί να παρουσιάσει, όχι δέσμευση, και δεν μπορεί να εμποδίσει μια άλλη συνεδρία να λάβει την ίδια διεύθυνση.

Τι μπορεί και τι δεν μπορεί να υποσχεθεί η απάντηση RADIUS

RFC 2865ορίζει το Framed-IP-Address ως τη διεύθυνση IPv4 που πρέπει να ρυθμιστεί για τον χρήστη, και ανήκει στο Access-Accept. Το ίδιο χαρακτηριστικό στο Access-Request είναι μόνο μια υπόδειξη που ο διακομιστής μπορεί να αγνοήσει, κάτι που έχει σημασία όταν ένας πελάτης ή μια πύλη προσφέρει μια προτιμώμενη διεύθυνση. Τίποτα στο πρωτόκολλο δεν αναγκάζει την πύλη να σεβαστεί την απάντηση, επειδή ο διακομιστής πρόσβασης δικτύου είναι το στοιχείο που την εφαρμόζει στη συνεδρία.

Η υποστήριξη είναι ζήτημα προϊόντος και όχι πρωτοκόλλου. Μερικές πύλες εφαρμόζουν τις διευθύνσεις με πλαίσιο από προεπιλογή, άλλες χρειάζονται ενεργοποιημένο διακόπτη σε επίπεδο ομάδας πριν το κάνουν, και άλλες δέχονται το χαρακτηριστικό και δεν το χρησιμοποιούν ποτέ για συνεδρίες απομακρυσμένης πρόσβασης. Η τελευταία περίπτωση είναι η επικίνδυνη, επειδή το αρχείο λογιστικής μπορεί να δείχνει την απάντηση ενώ ο πελάτης λαμβάνει διεύθυνση από τη δεξαμενή. Επιβεβαιώστε τη συμπεριφορά στο ακριβές μοντέλο πύλης και στο firmware που τρέχετε, όχι στην τεκμηρίωση ενός αδελφού προϊόντος.

Μια απάντηση που η πύλη αγνοεί μοιάζει ακριβώς με μια απάντηση που δεν στάλθηκε ποτέ. Το να διαβάζετε το Access-Accept και τη διεύθυνση της συνεδρίας δίπλα δίπλα είναι ο μόνος τρόπος να ξεχωρίσετε τις δύο περιπτώσεις.

Δεσμεύστε τη διεύθυνση μέσα στη δεξαμενή που ήδη δρομολογείτε

Επιλέξτε τη σταθερή διεύθυνση από το υποδίκτυο της δεξαμενής που η πύλη ήδη δρομολογεί και που το τείχος προστασίας ήδη εμπιστεύεται. Μια διεύθυνση έξω από αυτό το εύρος μετατρέπει μια αλλαγή πολιτικής σε έργο δρομολόγησης, και το VPN θα σηκωθεί ενώ τίποτα πίσω του δεν θα μπορεί να απαντήσει. Αν υπάρχουν κανόνες πρόσβασης ανά διεύθυνση, προσθέστε τη σταθερή διεύθυνση σε αυτούς στην ίδια αλλαγή.

Αποφασίστε τι πρέπει να κάνει μια δεύτερη ταυτόχρονη συνεδρία. Η εκχώρηση μιας διεύθυνσης δύο φορές δεν είναι διαχείριση συσκευών, και η σύγκρουση που προκύπτει εμφανίζεται ως διακοπτόμενη συνδεσιμότητα και για τις δύο συνεδρίες. Είτε εκδώστε διαφορετικές ταυτότητες ανά συσκευή, είτε διαφορετικές εκχωρήσεις, είτε επιβάλετε ταυτοχρονία με ένα υποστηριζόμενο έλεγχο, όπως Simultaneous-Use, αντί να ελπίζετε ότι ο πελάτης δεν θα επανασυνδεθεί ποτέ πριν λήξει η παλιά συνεδρία.

Οι διαδρομές επιστροφής αξίζουν την ίδια προσοχή με την εκχώρηση. Η πύλη χρειάζεται μια διαδρομή προς τη δεξαμενή, οι εσωτερικοί δρομολογητές χρειάζονται μια διαδρομή πίσω στην πύλη, και η σταθερή διεύθυνση κληρονομεί και τις δύο. Ένας μόνος πελάτης που λειτουργεί ενώ όλοι οι άλλοι αποτυγχάνουν συνήθως σημαίνει ότι η διαδρομή της δεξαμενής υπάρχει αλλά η διαδρομή κεντρικού υπολογιστή για τη δεσμευμένη διεύθυνση δεν υπάρχει.

Δοκιμάστε την απάντηση πριν εμπιστευτείτε τη δέσμευση

Δοκιμάστε την πλευρά AAA και την πλευρά της συνεδρίας χωριστά, επειδή αποτυγχάνουν για διαφορετικούς λόγους. Ένα τοπικό radtest δείχνει τι επιστρέφει ο διακομιστής για τον λογαριασμό χωρίς να εμπλέκεται η πύλη, και η καταχώριση στο αρχείο χρηστών δείχνει με τι πρέπει να ταιριάξει ο διακομιστής. Στη συνέχεια επανασυνδέστε τον πελάτη και συγκρίνετε τη διεύθυνση που έλαβε με το χαρακτηριστικό στην απάντηση.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Ένα Access-Accept χωρίς το χαρακτηριστικό σημαίνει ότι ο διακομιστής δεν ταίριαξε την καταχώριση ή ότι το χαρακτηριστικό δεν εφαρμόστηκε σε αυτόν τον χρήστη. Ένα Access-Accept με το χαρακτηριστικό και ένας πελάτης που εξακολουθεί να λαμβάνει διεύθυνση από τη δεξαμενή σημαίνει ότι η πύλη το αγνόησε. Ένα Access-Reject σας στέλνει πίσω στα διαπιστευτήρια ή στην πολιτική ομάδας, και κανένα από αυτά τα αποτελέσματα δεν πρέπει να αποσφαλματώνεται επεξεργάζοντας τον προσαρμογέα του πελάτη.

Επαναλάβετε τον έλεγχο μετά από επανασύνδεση και μετά από δεύτερη σύνδεση από άλλη συσκευή. Μια δέσμευση που κρατά μόνο για την πρώτη συνεδρία είναι μια σύγκρουση δεξαμενής που περιμένει να συμβεί, και είναι φθηνότερο να τη βρείτε τώρα παρά κατά τη διάρκεια ενός ελέγχου.

Διαλέξτε έναν ιδιοκτήτη και γράψτε τον

Αν η πύλη εφαρμόζει αξιόπιστα τις διευθύνσεις με πλαίσιο, αφήστε το RADIUS να κατέχει την εκχώρηση και αφαιρέστε κάθε στατική αντιστοίχιση για τον ίδιο λογαριασμό. Αν όχι, αφήστε την πύλη να την κατέχει και αφαιρέστε το χαρακτηριστικό από την απάντηση, ώστε οι δύο πηγές να μην μπορούν να διαφωνήσουν. Το να κρατάτε και τα δύο επειδή το καθένα σχεδόν λειτουργεί εγγυάται μια μελλοντική συνεδρία με λάθος διεύθυνση και χωρίς προφανή αιτία.

Γράψτε τον επιλεγμένο ιδιοκτήτη, τη δεσμευμένη διεύθυνση και τη δεξαμενή από την οποία προήλθε στην εγγραφή του λογαριασμού. Το επόμενο άτομο που θα προσθέσει μια συσκευή θα μπορεί να δει αν η διεύθυνση είναι πολιτική AAA ή αντιστοίχιση στην πύλη πριν αλλάξει οποιοδήποτε από τα δύο.