Kiinteä VPN-IP: RADIUS Framed-IP-Address vai poolivaraus

Kolme paikkaa voi pitää kiinteää sisäistä osoitetta VPN-asiakkaalle, ja vain yhden niistä pitäisi omistaa se. RADIUS voi palauttaa osoitteen Access-Acceptissa, yhdyskäytävä voi pitää tiliä varten staattista kartoitusta, ja asiakkaan sovitin voidaan asettaa käsin. Kaksi ensimmäistä ovat politiikkaa ja kolmas on paikallinen arvaus, jonka yhdyskäytävä voi vapaasti jättää huomiotta tai kirjoittaa yli. Valinta kahden ensimmäisen välillä on todellinen päätös, ja se riippuu siitä, mitä verkon käyttöoikeuspalvelin todella toteuttaa.

Kolme paikkaa, joissa kiinteä osoite voi asua

RADIUS omistaa osoitteen, kun vastaus sisältää Framed-IP-Addressin ja yhdyskäytävä soveltaa sitä arvoa istuntoon. Yhdyskäytävä omistaa sen, kun ylläpitäjä kartoittaa tilin poolin sisällä olevaan staattiseen osoitteeseen. Asiakas ei omista mitään, vaikka sen sovitin näyttäisi käsin asetettua osoitetta, koska palvelin määrittää sisäisen osoitteen neuvottelun aikana ja paikallinen asetus merkitsee vain silloin, kun palvelin ei lähetä mitään. Kaikki kolme näyttävät samalta toimivassa yhteydessä, minkä vuoksi ristiriidat paljastuvat myöhään. Ero näkyy uudelleenyhdistämisessä, toisella laitteella ja käytäntömuutoksen jälkeen.

Kaksi omistajaa on se kokoonpano, joka hajoaa. RADIUS-vastaus, joka määrittää 172.28.4.77, kun yhdyskäytävällä on staattinen kartoitus 172.28.4.90:een, antaa sen arvon, jonka valmistajan koodi tarkistaa ensin, ja häviäjä hylätään ilman lokiriviä. Sama tili toisella laitteella saa silloin kaksoisosoitteen, ja oire luetaan reititysvikana eikä määritysristiriitana. Ratkaise omistaja ennen kuin lisäät toisen mekanismin.

Asiakaspuolen vaihtoehto kannattaa nimetä vain, jotta se voidaan sulkea pois. Käsin asetettu sovittimen osoite on asetus, jonka käyttöjärjestelmä voi näyttää, ei varaus, eikä se voi estää toista istuntoa saamasta samaa osoitetta.

Mitä RADIUS-vastaus voi luvata ja mitä ei

RFC 2865määrittelee Framed-IP-Addressin IPv4-osoitteeksi, joka käyttäjälle tulee määrittää, ja se kuuluu Access-Acceptiin. Sama attribuutti Access-Requestissa on vain vihje, jonka palvelin voi jättää huomiotta, millä on merkitystä, kun asiakas tai yhdyskäytävä tarjoaa ensisijaista osoitetta. Mikään protokollassa ei pakota yhdyskäytävää noudattamaan vastausta, koska verkon käyttöoikeuspalvelin on se komponentti, joka soveltaa sitä istuntoon.

Tuki on tuotekysymys, ei protokollakysymys. Jotkin yhdyskäytävät soveltavat kehystettyjä osoitteita oletuksena, toiset tarvitsevat ryhmätason kytkimen päälle ennen sitä, ja toiset hyväksyvät attribuutin eivätkä koskaan käytä sitä etäkäyttöistuntoihin. Viimeinen tapaus on vaarallinen, koska kirjanpitotietue voi näyttää vastauksen, kun asiakas saa pooliosoitteen. Vahvista käyttäytyminen täsmällisellä yhdyskäytävämallilla ja laiteohjelmistolla, jota ajat, älä sisartuotteen dokumentaatiosta.

Vastaus, jonka yhdyskäytävä jättää huomiotta, näyttää täsmälleen samalta kuin vastaus, jota ei koskaan lähetetty. Access-Acceptin ja istunnon osoitteen lukeminen rinnakkain on ainoa tapa erottaa nämä kaksi tapausta.

Varaa osoite poolin sisältä, jonka jo reitität

Valitse kiinteä osoite poolin aliverkosta, jonka yhdyskäytävä jo reitittää ja johon palomuuri jo luottaa. Tuon alueen ulkopuolinen osoite muuttaa käytäntömuutoksen reititysprojektiksi, ja VPN nousee, kun mikään sen takana ei voi vastata. Jos osoitekohtaisia käyttöoikeussääntöjä on, lisää kiinteä osoite niihin samassa muutoksessa.

Päätä, mitä toisen samanaikaisen istunnon pitäisi tehdä. Yhden osoitteen jakaminen kahdesti ei ole laitehallintaa, ja syntyvä törmäys näkyy ajoittaisena yhteytenä molemmille istunnoille. Joko myönnä erilliset identiteetit laitekohtaisesti, erilliset määritykset, tai pakota samanaikaisuus tuetulla tarkistuksella, kuten Simultaneous-Use, sen sijaan että toivoisit, ettei asiakas koskaan yhdistä uudelleen ennen vanhan istunnon päättymistä.

Paluureitit ansaitsevat saman huomion kuin määritys. Yhdyskäytävä tarvitsee reitin pooliin, sisäiset reitittimet tarvitsevat reitin takaisin yhdyskäytävään, ja kiinteä osoite perii molemmat. Yksi asiakas, joka toimii kaikkien muiden epäonnistuessa, tarkoittaa yleensä, että poolin reitti on olemassa mutta varatun osoitteen isäntäreitti ei.

Testaa vastaus ennen kuin luotat varaukseen

Testaa AAA-puoli ja istuntopuoli erikseen, koska ne epäonnistuvat eri syistä. Paikallinen radtest näyttää, mitä palvelin palauttaa tilille ilman yhdyskäytävää, ja käyttäjätiedoston merkintä näyttää, mihin palvelimen pitäisi osua. Yhdistä sitten asiakas uudelleen ja vertaa sen saamaa osoitetta vastauksen attribuuttiin.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Access-Accept ilman attribuuttia tarkoittaa, ettei palvelin osunut merkintään tai ettei attribuuttia sovellettu kyseiseen käyttäjään. Access-Accept attribuutin kanssa ja asiakas, joka saa edelleen pooliosoitteen, tarkoittaa, että yhdyskäytävä jätti sen huomiotta. Access-Reject lähettää sinut takaisin tunnistetietoihin tai ryhmäkäytäntöön, eikä mitään näistä tuloksista pitäisi korjata muokkaamalla asiakkaan sovitinta.

Toista tarkistus uudelleenyhdistämisen jälkeen ja toisen kirjautumisen jälkeen toiselta laitteelta. Varaus, joka pitää vain ensimmäisen istunnon ajan, on pooliristiriita odottamassa tapahtumistaan, ja se on halvempaa löytää nyt kuin auditoinnin aikana.

Valitse yksi omistaja ja kirjoita se muistiin

Jos yhdyskäytävä soveltaa kehystettyjä osoitteita luotettavasti, anna RADIUSin omistaa määritys ja poista kaikki staattinen kartoitus samalle tilille. Jos ei, anna yhdyskäytävän omistaa se ja poista attribuutti vastauksesta, jotta kaksi lähdettä eivät voi olla eri mieltä. Molempien pitäminen, koska kumpikin melkein toimii, takaa tulevan istunnon väärällä osoitteella ja ilman ilmeistä syytä.

Kirjoita valittu omistaja, varattu osoite ja pooli, josta se tuli, tilin tietueeseen. Seuraava henkilö, joka lisää laitteen, näkee silloin, onko osoite AAA-käytäntö vai yhdyskäytävän kartoitus, ennen kuin muuttaa kumpaakaan.