Stabila VPN-klienta adreso per Framed-IP-Address de RADIUS

RADIUS povas respondi per adreso por donita uzanto; ĉu la tunelo efektive ricevas ĝin, dependas de la enirejo. Ĝuste en tiu breĉo inter redonita kaj plenumita fiaskas la plej multaj planoj pri stabilaj adresoj. Atributo en testa respondo pruvas, ke la servilo povas ĝin sendi, ne ke la telealira servo ĝin aplikas. La sekva sinsekvo kontrolas ambaŭ duonojn antaŭ ol la adreso eniros fajroŝirmilajn regulojn.

Decidu, kiu tavolo posedas la adreson

Telealiraj enirejoj kutime havas lokan naĝujon, kaj multaj ankaŭ povas akcepti adreson el la aŭtentiga respondo. Kiu venkas dependas de la platformo, la protokolo kaj la serva agordo, do legu la prioritatregulon por la ĝuste uzata versio. Kie la loka naĝujo havas prioritaton, la atributo estas nur ornamo kaj la kliento tamen surteriĝas sur hazarda adreso. Skribu la decidon, inkluzive ĉu redonita valoro devas troviĝi ene de la naĝuja gamo aŭ rajtas esti ekster ĝi.

RFC 2865 difinas Framed-IP-Address kiel la adreson konfigurindan por la uzanto, kaj diras nenion pri la pretemo de iu aparta enirejo respekti ĝin. La dokumentaro de la vendisto estas la aŭtoritato pri prioritato, ne la difino de la atributo.

Sendu testan peton kaj legu la respondon

Unue testu la servilon izolite, por ke mankanta atributo ne estu konfuzita kun enireja problemo. radtest sendas unu Access-Request kaj presas la atributojn, kiuj revenas.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Serĉu Framed-IP-Address en la Access-Accept kaj konfirmu, ke la valoro estas la intencita, ne naĝuja adreso el rezerva regulo. Kiam la atributo mankas, la uzanta enskribo aŭ la rajtiga politiko ne kongruas, kaj agordado de la enirejo ne povas liveri tion, kion la servilo neniam sendis. Ripetu la peton dum la servilo funkcias en sencimiga reĝimo, se la respondo malfacile ligeblas al difinita regulo. Tenu la komunan sekreton ekster la ŝela historio kaj biletoj, ĉar la supra lokokupilo ne estas akreditaĵo.

Konfirmu, ke la enirejo respektis la valoron

Ĝusta respondo estas nur duono de la kontrakto. La adreso, kiu aperas sur la tunela interfaco, estas la observo, kiu gravas, kaj ĝi legeblas ĉe la kliento anstataŭ esti deduktita el la enireja agordo.

ip -4 addr show tun0

Komparu tiun adreson kun la atributo el la Access-Accept. Miskongruo signifas, ke la enirejo ignoris aŭ reverkis la valoron, kio remalfermas la prioritatdemandon el la unua sekcio. Rekonektu ankoraŭ unufoje, ĉar rezervo, kiu funkcias nur ĉe la unua provo, kutime indikas kadukan seancon aŭ luon ankoraŭ tenatan de la antaŭa konekto. Notu la version de la enirejo kaj la protokolon apud la rezulto, por ke la sekva persono povu taksi, ĉu la konduto estas versiospecifa.

Planu por samtempeco kaj revokado

Unu uzantnomo sur du aparatoj ne povas mapiĝi al unu adreso, krom se la enirejo distingas la seancojn per io preter la ensaluto. Decidu, ĉu la mapado apartenas al persono, al registrita aparato aŭ al atestila identeco, kaj faru tiun elekton eksplicita en la politika konservejo. Testu duan samtempan klienton kaj komparu ambaŭ asignitajn adresojn, ĉar kolizio ĉi tie reaperos poste kiel enkursiga fuŝo. La sama zorgemo apartenas al la revoka plano, ĉar adreso reasignita dum malnovaj fajroŝirmilaj reguloj ankoraŭ referencas ĝin fariĝas rajtiga eraro.

Stabila adresado simpligas regulojn kaj protokolojn, sed ĝi neniam pruvas, kiu generis pakaĵon. Aŭtentigo kaj celloka rajtigo ankoraŭ gravas, kiam tiu adreso poste transiras al alia seanco.