VPN IP finkoa: RADIUS Framed-IP-Address edo pool-erreserba bat

Hiru lekuk gorde dezakete VPN bezero baten barne helbide finkoa, eta horietako batek soilik izan beharko luke jabe. RADIUSek helbidea Access-Accept batean itzul dezake, atebideak kontuarentzako mapa estatiko bat gorde dezake, eta bezeroaren egokitzailea eskuz ezar daiteke. Lehen biak politika dira eta hirugarrena atebideak baztertu edo gainidatz dezakeen tokiko uste bat da. Lehen bien artean aukeratzea da benetako erabakia, eta sareko sarbide-zerbitzariak benetan zer ezartzen duen araberakoa da.

Helbide finko bat egon daitekeen hiru leku

RADIUS da helbidearen jabea erantzunak Framed-IP-Address daramanean eta atebideak balio hori saiora aplikatzen duenean. Atebidea da jabea administratzaile batek kontua poolaren barneko helbide estatiko batera mapatzen duenean. Bezeroak ez du ezer, nahiz eta bere egokitzaileak helbide eskuzkoa erakutsi, zerbitzariak barne helbidea negoziazioan esleitzen baitu eta tokiko ezarpenak ez baitu axola zerbitzariak bat ere bidaltzen ez duenean. Hirurak berdinak dirudite funtzionatzen duen konexio batean, eta horregatik gatazkak berandu azaleratzen dira. Aldea berriz konektatzean, bigarren gailuan eta politika-aldaketaren ondoren ikusten da.

Bi jabe da hausten den konfigurazioa. RADIUS erantzun batek 172.28.4.77 esleitzen du atebideak 172.28.4.90rako mapa estatiko bat duen bitartean, eta saltzailearen kodeak lehenengo egiaztatzen duen balioa ematen du, galtzailea erregistro-lerrorik gabe baztertzen delarik. Kontu bera bigarren gailu batean helbide bikoiztua jasotzen du orduan, eta sintoma bideratze-matxura gisa irakurtzen da, esleipen-gatazka gisa baino. Erabaki jabea bigarren mekanismoa gehitu aurretik.

Bezeroaren aldeko aukera izendatzea merezi du, baztertu ahal izateko bakarrik. Egokitzailearen helbide eskuzkoa sistema eragileak aurkez dezakeen hobespena da, ez erreserba, eta ezin du beste saio batek helbide bera jasotzea eragotzi.

Zer gerta dezakeen RADIUS erantzunak eta zer ez

RFC 2865Framed-IP-Address erabiltzailearentzat konfiguratu beharreko IPv4 helbide gisa definitzen du, eta Access-Accept barruan dagokio. Access-Request barruko atributu bera zerbitzariak bazter dezakeen iradokizun bat baino ez da, eta hori garrantzitsua da bezero edo atebide bate helbide hobetsi bat eskaintzen duenean. Protokoloan ezerk ez du atebidea erantzuna errespetatzera behartzen, sareko sarbide-zerbitzaria baita saiora aplikatzen duen osagaia.

Laguntza produktu-kontua da, ez protokolo-kontua. Atebide batzuek marko-dun helbideak lehenespenez aplikatzen dituzte, beste batzuek talde-mailako etengailua piztuta behar dute horretarako, eta beste batzuek atributua onartu eta inoiz ez dute urruneko sarbide-saioetarako erabiltzen. Azken kasu hori da arriskutsua, kontabilitate-erregistroak erantzuna erakuts baitezake bezeroak pool helbidea jasotzen duen bitartean. Berretsi portaera darabilzun atebide-eredu eta firmware zehatzean, ez produktu ahizpa baten dokumentazioan.

Atebideak baztertzen duen erantzun bat inoiz bidali ez zen erantzun baten berdin-berdina da. Access-Accept eta saioaren helbidea elkarren ondoan irakurtzea da bi kasuak bereizteko modu bakarra.

Erreserbatu helbidea dagoeneko bideratzen duzun poolaren barruan

Aukeratu helbide finkoa atebideak dagoeneko bideratzen duen eta suebakiak dagoeneko fidatzen duen pool azpisaretik. Barruti horretatik kanpoko helbide batek politika-aldaketa bideratze-proiektu bihurtzen du, eta VPN-a altxatuko da atzean ezerk erantzun ezin duen bitartean. Helbide bakoitzeko sarbide-arauak badaude, gehitu helbide finkoa haiei aldaketa berean.

Erabaki bigarren saio aldi bereko batek zer egin behar duen. Helbide bat birritan esleitzea ez da gailuen kudeaketa, eta sortzen den talka konektibitate etena gisa agertzen da bi saioentzat. Edo eman identitate desberdinak gailu bakoitzeko, edo esleipen desberdinak, edo behartu aldi berekotasuna onartutako egiaztapen batekin, hala nola Simultaneous-Use, saio zaharra iraungi aurretik bezeroa inoiz berriz konektatuko ez delako itxaroten egon beharrean.

Itzulera-bideek esleipenak adina arreta merezi dute. Atebideak poolera bidea behar du, barne bideratzaileek atebidera itzultzeko bidea behar dute, eta helbide finkoak biak heredatzen ditu. Bezero bakar batek funtzionatzeak eta beste guztiek huts egiteak normalean esan nahi du poolaren bidea badagoela baina erreserbatutako helbiderako ostalari-bidea ez dagoela.

Proba ezazu erantzuna erreserban fidatu aurretik

Probatu AAA aldea eta saioaren aldea bereizita, arrazoi desberdinengatik huts egiten baitute. Tokiko radtest batek zerbitzariak kontuarentzat zer itzultzen duen erakusten du atebidea sartu gabe, eta erabiltzaile-fitxategiko sarrerak zerbitzariak zerekin bat etorri behar duen erakusten du. Ondoren, berriz konektatu bezeroa eta alderatu jasotako helbidea erantzuneko atributuarekin.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Atributurik gabeko Access-Accept batek zerbitzariak sarrera ez duelako bat etorri edo atributua erabiltzaile horri ez zaiola aplikatu esan nahi du. Atributua duen Access-Accept batek eta pool helbidea oraindik jasotzen duen bezero batek atebideak baztertu zuela esan nahi du. Access-Reject batek kredentzialetara edo talde-politikara bidaltzen zaitu, eta emaitza horietako bat ere ez litzateke bezeroaren egokitzailea editatuaz araztu behar.

Errepikatu egiaztapena berriz konektatu ondoren eta beste gailu batetik bigarren saio-hasiera baten ondoren. Lehen saiorako soilik irauten duen erreserba bat gertatzear dagoen pool-gatazka bat da, eta merkeagoa da orain aurkitzea auditoria batean baino.

Aukeratu jabe bakarra eta idatzi

Atebideak marko-dun helbideak fidagarritasunez aplikatzen baditu, utzi RADIUSi esleipenaren jabe izaten eta kendu kontu bererako edozein mapa estatiko. Hala ez bada, utzi atebideari jabe izaten eta kendu atributua erantzunetik, bi iturriek desadostasunik izan ez dezaten. Biak mantentzea, bakoitzak ia funtzionatzen duelako, etorkizuneko saio bat helbide okerrarekin eta arrazoi agerikorik gabe bermatzen du.

Idatzi aukeratutako jabea, erreserbatutako helbidea eta hura nondik datorren poolaren izena kontu-erregistroan. Hurrengo gailua gehitzen duen pertsonak ikus dezake helbidea AAA politika bat edo atebide mapa bat den, horietako edozein aldatu aurretik.