Stabiilne VPN-kliendi aadress RADIUS-e Framed-IP-Address abil

RADIUS võib vastata konkreetse kasutaja aadressiga; kas tunnel selle tõesti saab, sõltub lüüsist. Just selles vahes tagastatud ja rakendatud vahel kukuvad läbi enamik stabiilsete aadresside plaane. Testvastuses olev atribuut tõestab, et server suudab selle saata, mitte et kaugjuurdepääsuteenus seda rakendab. Alljärgnev järjestus kontrollib mõlemat poolt enne, kui aadress tulemüürireeglitesse jõuab.

Otsustage, milline kiht aadressi omab

Kaugjuurdepääsulüüsidel on tavaliselt kohalik hulk, ja paljud suudavad autentimisvastusest aadressi ka vastu võtta. Kumb võidab, sõltub platvormist, protokollist ja teenuse konfiguratsioonist, seega lugege tähtsusreeglit täpselt kasutatava versiooni jaoks. Kus kohalikul hulgal on eesõigus, on atribuut vaid ehe ja klient satub ikkagi juhuslikule aadressile. Kirjutage otsus üles, sealhulgas kas tagastatud väärtus peab jääma hulga vahemikku või võib jääda sellest välja.

RFC 2865 määratleb Framed-IP-Address kasutaja jaoks seadistatava aadressina ega ütle midagi ühegi konkreetse lüüsi valmiduse kohta seda austada. Tähtsuse osas on autoriteet tootja dokumentatsioon, mitte atribuudi määratlus.

Saatke testpäring ja lugege vastust

Testige serverit esmalt isoleeritult, et puuduvat atribuuti ei aetaks segi lüüsi probleemiga. radtest saadab ühe Access-Request'i ja prindib atribuudid, mis tagasi tulevad.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Otsige Framed-IP-Address Access-Acceptist ja kinnitage, et väärtus on kavandatu, mitte varureegli hulga-aadress. Kui atribuut puudub, ei klapi kasutajakirje ega volituspoliitika ning lüüsi häälestamine ei saa pakkuda seda, mida server kunagi ei saatnud. Korrake päringut, kui server töötab silumisrežiimis, juhul kui vastust on raske konkreetse reegliga siduda. Hoidke ühine saladus shelli ajaloost ja piletitest eemal, sest ülalolev kohatäitja ei ole mandaat.

Kinnitage, et lüüs väärtust austas

Õige vastus on vaid pool lepingut. Aadress, mis tunneliliidesel ilmub, on tähtis tähelepanek, ja seda loetakse kliendil, mitte ei tuletata lüüsi konfiguratsioonist.

ip -4 addr show tun0

Võrrelge seda aadressi Access-Accepti atribuudiga. Erinevus tähendab, et lüüs eiras või kirjutas väärtuse ümber, mis avab uuesti esimese jaotise tähtsusküsimuse. Ühenduge veel kord, sest reserveering, mis töötab ainult esimesel katsel, viitab tavaliselt aegunud seansile või liisingule, mida eelmine ühendus veel hoiab. Märkige tulemuse kõrvale lüüsi versioon ja protokoll, et järgmine inimene saaks hinnata, kas käitumine on versioonipõhine.

Planeerige samaaegsus ja tühistamine

Üks kasutajanimi kahel seadmel ei saa vastata ühele aadressile, kui lüüs ei erista seansse millegagi peale sisselogimise. Otsustage, kas vastendus kuulub isikule, registreeritud seadmele või sertifikaadi identiteedile, ja tehke see valik poliitikahoidlas selgesõnaliseks. Testige teist samaaegset klienti ja võrrelge mõlemat määratud aadressi, sest kokkupõrge siin ilmub hiljem marsruutimistõrkena. Sama hoolsus kuulub tühistamisplaani, sest aadress, mis määratakse uuesti, kui vanad tulemüürireeglid sellele ikka veel viitavad, muutub volitustõrkeks.

Stabiilne adresseerimine lihtsustab reegleid ja logisid, kuid ei tõesta kunagi, kes paketi tekitas. Autentimine ja sihtkoha volitamine on endiselt olulised, kui see aadress hiljem teise seansi juurde liigub.