Zein helbide erregistratzen duzu NPS RADIUS bezero gisa?
Erregistratu pasabidearen benetako backend jatorria, ez ostalari-izen publikoa edo bezeroen multzoa. Egin bat sekretu partekatua, eta gero egiaztatu kontrolatutako eskaera batekin.
Autentifikazioa Windows NPS-ri ematen dion VPN pasabide batek objektu bat behar du NPS aldean erabiltzaile-politikaren bat exekutatu aurretik: RADIUS bezeroaren sarrera pasabidearentzat. Saiakera hutsen gehiengoak helbide okerra erregistratzen du, garrantzitsua den helbidea pasabideak bere backend bidean erabiltzen duena delako, langileek beren VPN aplikazioan idazten duten ostalari-izena ez. Balio hori okerra bada, NPS-k isilpean baztertzen du eskaera, eta bezeroaren aldetik pasahitz okerra dirudi. Hiru baldintzak erabakitzen dute zein helbide dagokion eremuari, beraz argitu itzazu kontsola ireki aurretik.
Erregistratu pasabidea, ez eramangarriak edo multzoa
RADIUS bezero objektuak autentifikazio-eskaerak bidaltzen dituen sare-sarbide gailua adierazten du. VPN pasabidea da, ez bezeroa exekutatzen duen eramangarri bakoitza, eta ez tuneletan barruan banatzen den helbide tartea.
Tunel helbide horiek ez dira inoiz agertzen RADIUS eskaera baten jatorri gisa, eskaera pasabidearen bere sare-bidetik bidaiatzen duelako. Bezero-multzo sarrera bat erregistratzeak inoiz bat etor ezin duen politika sortzen du, benetako eskaera NPS-k inoiz entzun ez duen helbide batetik iristen den bitartean. Nahasmen berak langile bakoitzaren etxeko IPa gehitzea dakar, eta hori ez da jasangarria eta okerra da.
Hiru baldintzak erabakitzen dute sartzen duzun helbidea
Lehenik, aurkitu pasabideak NPS-rekin benetan erabiltzen duen iturburu-helbidea. Interfaze anitzeko pasabide batek kudeaketa edo backend interfaze batetik bidaltzen du sarritan, bere VPN entzule publikotik beharrean. Bigarrenik, egiaztatu bien artean NAT badagoen: eskaera itzultzen bada, NPS-k itzulitako helbidea ikusten du, eta hori da erregistratzeko balioa. Hirugarrenik, bi pasabidek zeregina partekatzen badute, eskaera-iturburu bakoitzak bere bezero-sarrera behar du, helbide bateko objektu bakarrak horietako bat bakarrik estaltzen duelako.
Bi muturretako erregistro batek bikotea zuzen mantentzen du. Beheko taulak helbide pribatuak erabiltzen ditu ilustrazio gisa, beraz ordezkatu zure bideak benetan erabiltzen dituenekin.
| At NPS | At the VPN gateway |
|---|---|
| RADIUS client address 10.20.0.10 | Authentication server 10.20.0.20 |
| Shared secret, agreed value | The same secret, same value |
| UDP 1812 permitted from 10.20.0.10 | UDP 1812 permitted toward 10.20.0.20 |
Egiaztatu iturburua asmatu beharrean. Begiratu NPS edo suebakien erregistroa saiakera batean zehar, edo harrapatu NPS ostalarian sudo tcpdump -ni any udp port 1812 erabiliz. Harrapaketa horretako helbidea da bezero-sarrerarako erantzun defendagarri bakarra. Pasabideak hainbat iturburu posible baditu, erregistratu bakoitza bere izen adeitsuarekin.
Sekretu partekatua pasabidearen eta NPS-ren arteko balioa da
Sekretu partekatuak gailuen arteko harremana autentifikatzen du. Ez da erabiltzaile-pasahitza eta ez zaie inoiz langileei banatzen ezta bezero-profilen barruan txertatzen ere.
Aukeratu balio bat, sartu bi lekuetan, eta gorde pasabidearen konfigurazioaren babes-kopia dagoen tokian. Desadostasunak NPS-k errorerik erabilgarririk gabe baztertzen duen eskaera sortzen du, eta hori ez da bereizten pasabidearen erregistroan eskuraezin den zerbitzari batetik. Biratu mantentze-leiho batean eta eguneratu bi muturrak aldaketa berean.
Egiaztatu baimendutako eskaera batekin
Erabili kontrolatutako kontu bat eta korrelazionatu saiakera bakarra bi aldeetan. Pasabidean, egiaztatu eskaera aurreikusitako zerbitzarira joan zela; NPS-n, erregistratutako bezerotik iritsi zela eta espero zen konexio-eskaera politikarekin bat etorri zela. Denbora-muga eta ukapena gauza desberdinak dira, eta biak kredentzialen arazo gisa tratatzeak hurrengo ordua alferrik galtzen du. Gero probatu baliozkoa baina hautagarria ez den kontu bat eta pasahitz oker bat, dena onartzen duen politikak lehen proba ere gainditzen duelako.
Azkenean, egiaztatu pasabideak itzulitako baimenarekin zer egiten duen. RADIUS bezero bat erregistratzeak gailuari parte hartzea soilik ahalbidetzen dio; ez dio ondoriozko saio bakoitzari LANerako sarbiderik ematen.
Eduki irteera diagnostikoa mugatuta: sekretu partekaturik ez, erabiltzaile-pasahitzik ez, pakete-karga osorik ez laguntza-txartel batean. Diseinuak NPS zerbitzariak direktorio-atributuak irakurtzea eskatzen badu, baimen hori bezeroaren erregistroaz aparteko administrazio-zeregina da, eta falta denean beste modu batera egiten du huts.