Ποια διεύθυνση καταχωρίζετε ως πελάτη RADIUS του NPS;

Μια πύλη VPN που παραδίδει τον έλεγχο ταυτότητας στο Windows NPS χρειάζεται ένα αντικείμενο στην πλευρά του NPS πριν λειτουργήσει οποιαδήποτε πολιτική χρήστη: μια καταχώριση πελάτη RADIUS για την πύλη. Οι περισσότερες αποτυχημένες απόπειρες καταχωρίζουν τη λάθος διεύθυνση, γιατί η διεύθυνση που μετράει είναι αυτή που χρησιμοποιεί η πύλη στη διαδρομή backend της, όχι το όνομα κεντρικού υπολογιστή που πληκτρολογεί το προσωπικό στην εφαρμογή VPN. Αν η τιμή αυτή είναι λάθος, το NPS απορρίπτει σιωπηλά το αίτημα, που από την πλευρά του πελάτη μοιάζει με λάθος κωδικό πρόσβασης. Τρεις συνθήκες καθορίζουν ποια διεύθυνση ανήκει στο πεδίο, οπότε λύστε τις πριν ανοίξετε την κονσόλα.

Καταχωρίστε την πύλη, όχι τους φορητούς υπολογιστές ή τη δεξαμενή

Το αντικείμενο πελάτη RADIUS αντιπροσωπεύει τη συσκευή πρόσβασης δικτύου που στέλνει αιτήματα ελέγχου ταυτότητας. Αυτή είναι η πύλη VPN, όχι κάθε φορητός υπολογιστής που εκτελεί τον πελάτη, και όχι το εύρος διευθύνσεων που διανέμονται μέσα στις σήραγγες.

Αυτές οι διευθύνσεις σήραγγας δεν εμφανίζονται ποτέ ως πηγή αιτήματος RADIUS, γιατί το αίτημα ταξιδεύει στη δική της διαδρομή δικτύου της πύλης. Η καταχώριση εγγραφής δεξαμενής πελατών παράγει πολιτική που δεν μπορεί ποτέ να ταιριάξει, ενώ το πραγματικό αίτημα φτάνει από διεύθυνση που το NPS δεν έχει ακούσει ποτέ. Η ίδια σύγχυση οδηγεί στο να προσθέτουν τη διεύθυνση IP του σπιτιού κάθε εργαζομένου, κάτι που είναι και μη συντηρήσιμο και λάθος.

Τρεις συνθήκες καθορίζουν τη διεύθυνση που εισάγετε

Πρώτα, βρείτε τη διεύθυνση πηγής που χρησιμοποιεί πραγματικά η πύλη προς το NPS. Μια πύλη με πολλές διεπαφές στέλνει συχνά από διεπαφή διαχείρισης ή backend αντί για τον δημόσιο ακροατή VPN της. Δεύτερον, ελέγξτε αν υπάρχει NAT μεταξύ τους: αν το αίτημα μεταφράζεται, το NPS βλέπει τη μεταφρασμένη διεύθυνση και αυτή είναι η τιμή προς καταχώριση. Τρίτον, αν δύο πύλες μοιράζονται τον ρόλο, κάθε πηγή αιτήματος χρειάζεται δική της καταχώριση πελάτη, γιατί ένα αντικείμενο με μία διεύθυνση καλύπτει μόνο μία από τις δύο.

Μια εγγραφή με δύο άκρα κρατά το ζεύγος καθαρό. Ο παρακάτω πίνακας χρησιμοποιεί ιδιωτικές διευθύνσεις για παράδειγμα, οπότε αντικαταστήστε τις με εκείνες που χρησιμοποιεί πραγματικά η διαδρομή σας.

Επιβεβαιώστε την πηγή αντί να τη μαντέψετε. Παρακολουθήστε το αρχείο καταγραφής του NPS ή του τείχους προστασίας κατά τη διάρκεια μιας απόπειρας ή κάντε λήψη στον κεντρικό υπολογιστή NPS με sudo tcpdump -ni any udp port 1812. Η διεύθυνση σε εκείνη τη λήψη είναι η μόνη υπερασπίσιμη απάντηση για την καταχώριση πελάτη. Αν η πύλη έχει πολλές πιθανές πηγές, καταχωρίστε καθεμία με το δικό της φιλικό όνομα.

Το κοινό απόρρητο είναι μια τιμή μεταξύ πύλης και NPS

Το κοινό απόρρητο πιστοποιεί τη σχέση των συσκευών. Δεν είναι κωδικός πρόσβασης χρήστη και δεν διανέμεται ποτέ στο προσωπικό ούτε ενσωματώνεται σε προφίλ πελατών.

Επιλέξτε μία τιμή, εισαγάγετέ την και στα δύο σημεία και αποθηκεύστε την εκεί όπου ζει το αντίγραφο ασφαλείας της διαμόρφωσης της πύλης. Μια ασυμφωνία παράγει αίτημα που το NPS απορρίπτει χωρίς χρήσιμο σφάλμα, κάτι που στο αρχείο καταγραφής της πύλης δεν ξεχωρίζει από έναν μη προσβάσιμο διακομιστή. Αλλάξτε την σε παράθυρο συντήρησης και ενημερώστε και τα δύο άκρα στην ίδια αλλαγή.

Επιβεβαιώστε με ένα επιτρεπτό αίτημα

Χρησιμοποιήστε ελεγχόμενο λογαριασμό και συσχετίστε μία μόνο απόπειρα και στις δύο πλευρές. Στην πύλη, επιβεβαιώστε ότι το αίτημα έφυγε προς τον προβλεπόμενο διακομιστή· στο NPS, ότι έφτασε από τον καταχωρισμένο πελάτη και ταίριαξε με την αναμενόμενη πολιτική αιτήματος σύνδεσης. Το χρονικό όριο και η απόρριψη σημαίνουν διαφορετικά πράγματα, και η αντιμετώπιση και των δύο ως προβλήματος διαπιστευτηρίων σπαταλά την επόμενη ώρα. Στη συνέχεια δοκιμάστε έναν έγκυρο αλλά μη επιλέξιμο λογαριασμό και έναν λάθος κωδικό, γιατί μια πολιτική που δέχεται τα πάντα περνά και το πρώτο τεστ.

Τέλος, ελέγξτε τι κάνει η πύλη με την εξουσιοδότηση που επιστρέφεται. Η καταχώριση πελάτη RADIUS επιτρέπει μόνο στη συσκευή να συμμετάσχει· δεν παρέχει σε κάθε συνεδρία που προκύπτει πρόσβαση στο LAN.

Κρατήστε την έξοδο διαγνωστικών περιορισμένη: κανένα κοινό απόρρητο, κανένας κωδικός χρήστη, κανένα πλήρες ωφέλιμο φορτίο πακέτου σε δελτίο υποστήριξης. Αν ο σχεδιασμός απαιτεί ο διακομιστής NPS να διαβάζει χαρακτηριστικά καταλόγου, αυτή η άδεια είναι ξεχωριστή διοικητική εργασία από την καταχώριση πελάτη και όταν λείπει αποτυγχάνει με άλλον τρόπο.