Millise aadressi registreerite NPS-i RADIUS-kliendina?

VPN-lüüs, mis annab autentimise üle Windows NPS-ile, vajab NPS-i poolel üht objekti enne, kui ükski kasutajapõhimõte saab töötada: RADIUS-kliendi kirje lüüsi jaoks. Enamik ebaõnnestunud katseid registreerib vale aadressi, sest oluline aadress on see, mida lüüs kasutab oma taustateel, mitte hostinimi, mille töötajad oma VPN-rakendusse trükivad. Kui see väärtus on vale, jätab NPS päringu vaikselt kõrvale, mis kliendi poolelt näeb välja nagu vale parool. Kolm tingimust otsustavad, milline aadress väljale kuulub, seega selgitage need enne konsooli avamist välja.

Registreerige lüüs, mitte sülearvutid ega kogum

RADIUS-kliendi objekt esindab võrgu juurdepääsuseadet, mis saadab autentimispäringuid. See on VPN-lüüs, mitte iga klienti käivitav sülearvuti ja mitte tunnelite sees jagatav aadressivahemik.

Need tunneliaadressid ei ilmu kunagi RADIUS-päringu allikana, sest päring liigub lüüsi enda võrguteel. Kliendikogumi kirje registreerimine loob põhimõtte, mis ei saa kunagi sobida, samal ajal kui tegelik päring saabub aadressilt, millest NPS pole kunagi kuulnud. Sama segadus viib selleni, et lisatakse iga töötaja kodune IP, mis on korraga nii hooldamatu kui ka vale.

Kolm tingimust otsustavad aadressi, mille sisestate

Esiteks leidke lähteaadress, mida lüüs tegelikult NPS-i suunas kasutab. Mitme liidesega lüüs saadab sageli haldus- või taustaliidesest, mitte oma avalikust VPN-kuulajast. Teiseks kontrollige, kas nende vahel on NAT: kui päring tõlgitakse, näeb NPS tõlgitud aadressi ja see on väärtus, mis tuleb registreerida. Kolmandaks, kui kaks lüüsi jagavad rolli, vajab iga päringuallikas oma kliendikirjet, sest üks objekt ühe aadressiga katab ainult ühe neist.

Kahe otsaga kirje hoiab paari korras. Allolev tabel kasutab illustreerimiseks privaatseid aadresse, seega asendage need nendega, mida teie tee tegelikult kasutab.

Kinnitage allikas, selle asemel et seda oletada. Jälgige ühe katse ajal NPS-i või tulemüüri logi või tehke NPS-i hostis jäädvustus käsuga sudo tcpdump -ni any udp port 1812. Selles jäädvustuses olev aadress on ainus kaitstav vastus kliendikirje jaoks. Kui lüüsil on mitu võimalikku allikat, registreerige igaüks oma sõbraliku nime all.

Ühine saladus on lüüsi ja NPS-i vaheline väärtus

Ühine saladus autendib seadmete suhet. See ei ole kasutaja parool ja seda ei jagata kunagi töötajatele ega manustata kliendiprofiilidesse.

Valige üks väärtus, sisestage see mõlemasse kohta ja hoidke seda seal, kus asub lüüsi konfiguratsiooni varukoopia. Sobimatus tekitab päringu, mille NPS jätab ilma kasuliku veata kõrvale, ja seda ei saa lüüsi logis eristada kättesaamatust serverist. Vahetage see hooldusaknas ja uuendage mõlemad otsad samas muudatuses.

Kinnitage ühe lubatud päringuga

Kasutage kontrollitud kontot ja korreleerige üks katse mõlemal poolel. Lüüsil kinnitage, et päring lahkus ettenähtud serveri suunas; NPS-is kinnitage, et see saabus registreeritud kliendilt ja vastas oodatud ühendusepäringu põhimõttele. Aegumine ja tagasilükkamine tähendavad erinevaid asju ning mõlema käsitlemine mandaadiprobleemina raiskab järgmise tunni. Seejärel katsetage kehtivat, kuid mitteabikõlblikku kontot ja valet parooli, sest kõike aktsepteeriv põhimõte läbib ka esimese testi.

Lõpuks kontrollige, mida lüüs teeb tagastatud autoriseerimisega. RADIUS-kliendi registreerimine lubab seadmel ainult osaleda; see ei anna igale sellest tulenevale seansile juurdepääsu LAN-ile.

Hoidke diagnostika väljund piiratud: ühtegi ühist saladust, ühtegi kasutajaparooli, ühtegi täielikku paketi koormust tugipiletis. Kui disain nõuab, et NPS-i server loeb kataloogi atribuute, on see luba kliendi registreerimisest eraldi administratiivne ülesanne ja selle puudumisel ebaõnnestub see teisiti.