Σταθερή διεύθυνση VPN client με Framed-IP-Address του RADIUS

Το RADIUS μπορεί να απαντήσει με διεύθυνση για συγκεκριμένο χρήστη· αν η σήραγγα τη λάβει πράγματι εξαρτάται από την πύλη. Σε αυτό το κενό ανάμεσα στο επιστρεφόμενο και το εφαρμοζόμενο αποτυγχάνουν τα περισσότερα σχέδια σταθερών διευθύνσεων. Ένα γνώρισμα σε δοκιμαστική απάντηση αποδεικνύει ότι ο διακομιστής μπορεί να το στείλει, όχι ότι η υπηρεσία απομακρυσμένης πρόσβασης το εφαρμόζει. Η παρακάτω σειρά ελέγχει και τα δύο μισά πριν η διεύθυνση καταλήξει σε κανόνες τείχους προστασίας.

Αποφασίστε ποιο επίπεδο κατέχει τη διεύθυνση

Οι πύλες απομακρυσμένης πρόσβασης έχουν συνήθως τοπική δεξαμενή, και πολλές μπορούν να δεχτούν διεύθυνση και από την απάντηση ελέγχου ταυτότητας. Ποια κερδίζει εξαρτάται από την πλατφόρμα, το πρωτόκολλο και τη διαμόρφωση της υπηρεσίας, γι’ αυτό διαβάστε τον κανόνα προτεραιότητας για την ακριβή έκδοση που χρησιμοποιείται. Όπου προηγείται η τοπική δεξαμενή, το γνώρισμα είναι διακοσμητικό και ο client καταλήγει πάλι σε τυχαία διεύθυνση. Καταγράψτε την απόφαση, μαζί με το αν μια επιστρεφόμενη τιμή πρέπει να βρίσκεται εντός του εύρους της δεξαμενής ή μπορεί να βρίσκεται εκτός.

Το RFC 2865 ορίζει το Framed-IP-Address ως τη διεύθυνση που πρέπει να διαμορφωθεί για τον χρήστη και δεν λέει τίποτα για την προθυμία κάποιας συγκεκριμένης πύλης να το σεβαστεί. Η τεκμηρίωση του κατασκευαστή είναι η αυθεντία για την προτεραιότητα, όχι ο ορισμός του γνωρίσματος.

Στείλτε δοκιμαστικό αίτημα και διαβάστε την απάντηση

Δοκιμάστε πρώτα τον διακομιστή μεμονωμένα, ώστε ένα απόν γνώρισμα να μη θεωρηθεί πρόβλημα της πύλης. radtest στέλνει ένα Access-Request και εκτυπώνει τα γνωρίσματα που επιστρέφουν.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Αναζητήστε το Framed-IP-Address στο Access-Accept και επιβεβαιώστε ότι η τιμή είναι η επιδιωκόμενη και όχι διεύθυνση δεξαμενής από κανόνα εφεδρείας. Όταν το γνώρισμα λείπει, η εγγραφή χρήστη ή η πολιτική εξουσιοδότησης δεν ταιριάζουν, και η ρύθμιση της πύλης δεν μπορεί να δώσει ό,τι δεν έστειλε ποτέ ο διακομιστής. Επαναλάβετε το αίτημα ενόσω ο διακομιστής τρέχει σε λειτουργία αποσφαλμάτωσης αν η απάντηση δύσκολα εντοπίζεται σε συγκεκριμένο κανόνα. Κρατήστε το κοινόχρηστο μυστικό έξω από το ιστορικό του κελύφους και τα δελτία, γιατί το παραπάνω σύμβολο θέσης δεν είναι διαπιστευτήριο.

Επιβεβαιώστε ότι η πύλη σεβάστηκε την τιμή

Μια σωστή απάντηση είναι μόνο το μισό της συμφωνίας. Η διεύθυνση που εμφανίζεται στη διεπαφή της σήραγγας είναι η παρατήρηση που μετράει, και διαβάζεται στον client αντί να συνάγεται από τη διαμόρφωση της πύλης.

ip -4 addr show tun0

Συγκρίνετε αυτή τη διεύθυνση με το γνώρισμα από το Access-Accept. Ασυμφωνία σημαίνει ότι η πύλη αγνόησε ή ξανάγραψε την τιμή, κάτι που ανοίγει ξανά το ζήτημα προτεραιότητας της πρώτης ενότητας. Συνδεθείτε άλλη μια φορά, γιατί μια κράτηση που λειτουργεί μόνο στην πρώτη προσπάθεια συνήθως δείχνει σε παλιά συνεδρία ή σε μίσθωση που κρατά ακόμη η προηγούμενη σύνδεση. Καταγράψτε την έκδοση της πύλης και το πρωτόκολλο δίπλα στο αποτέλεσμα, ώστε ο επόμενος να μπορεί να κρίνει αν η συμπεριφορά εξαρτάται από την έκδοση.

Σχεδιάστε ταυτοχρονία και ανάκληση

Ένα όνομα χρήστη σε δύο συσκευές δεν μπορεί να αντιστοιχιστεί σε μία διεύθυνση, εκτός αν η πύλη ξεχωρίζει τις συνεδρίες με κάτι πέρα από τη σύνδεση. Αποφασίστε αν η αντιστοίχιση ανήκει σε πρόσωπο, σε καταχωρισμένη συσκευή ή σε ταυτότητα πιστοποιητικού, και κάντε την επιλογή ρητή στο χώρο αποθήκευσης πολιτικών. Δοκιμάστε δεύτερο ταυτόχρονο client και συγκρίνετε και τις δύο εκχωρημένες διευθύνσεις, γιατί μια σύγκρουση εδώ επανεμφανίζεται αργότερα ως σφάλμα δρομολόγησης. Η ίδια προσοχή ανήκει στο σχέδιο ανάκλησης, γιατί μια διεύθυνση που ανατίθεται ξανά ενώ παλιοί κανόνες τείχους προστασίας την αναφέρουν ακόμη γίνεται σφάλμα εξουσιοδότησης.

Η σταθερή διευθυνσιοδότηση απλοποιεί κανόνες και αρχεία καταγραφής, αλλά ποτέ δεν αποδεικνύει ποιος δημιούργησε ένα πακέτο. Ο έλεγχος ταυτότητας και η εξουσιοδότηση προορισμού εξακολουθούν να μετράνε όταν η διεύθυνση μετακινηθεί αργότερα σε άλλη συνεδρία.