Minkä osoitteen rekisteröit NPS:n RADIUS-asiakkaaksi?

VPN-yhdyskäytävä, joka luovuttaa todentamisen Windows NPS:lle, tarvitsee NPS:n puolelle yhden objektin ennen kuin mikään käyttäjäkäytäntö voi toimia: RADIUS-asiakkaan merkinnän yhdyskäytävälle. Useimmat epäonnistuneet yritykset rekisteröivät väärän osoitteen, koska tärkeä osoite on se, jota yhdyskäytävä käyttää taustapolullaan, ei isäntänimi, jonka henkilöstö kirjoittaa VPN-sovellukseensa. Jos arvo on väärä, NPS hylkää pyynnön hiljaa, mikä näyttää asiakkaan puolelta väärältä salasanalta. Kolme ehtoa ratkaisee, mikä osoite kuuluu kenttään, joten selvitä ne ennen konsolin avaamista.

Rekisteröi yhdyskäytävä, älä kannettavia tai joukkoa

RADIUS-asiakasobjekti edustaa verkkoliityntälaitetta, joka lähettää todentamispyyntöjä. Se on VPN-yhdyskäytävä, ei jokainen asiakasta ajavat kannettava, eikä tunnelien sisällä jaettava osoitealue.

Nämä tunneliosoitteet eivät koskaan näy RADIUS-pyynnön lähteenä, koska pyyntö kulkee yhdyskäytävän omaa verkkopolkua pitkin. Asiakasjoukon merkinnän rekisteröiminen tuottaa käytännön, joka ei voi koskaan täsmätä, kun taas todellinen pyyntö saapuu osoitteesta, josta NPS ei ole koskaan kuullut. Sama hämmennys johtaa siihen, että lisätään jokaisen työntekijän kotiosoite, mikä on sekä ylläpitokelvoton että väärin.

Kolme ehtoa ratkaisee syöttämäsi osoitteen

Etsi ensin lähdeosoite, jota yhdyskäytävä todella käyttää NPS:n suuntaan. Moniliitäntäinen yhdyskäytävä lähettää usein hallinta- tai taustaliitännästä julkisen VPN-kuuntelijansa sijaan. Tarkista toiseksi, onko välissä NAT: jos pyyntö käännetään, NPS näkee käännö osoitteen, ja se on rekisteröitävä arvo. Kolmanneksi, jos kaksi yhdyskäytävää jakaa roolin, jokainen pyyntölähde tarvitsee oman asiakasmerkinnän, koska yksi objekti yhdellä osoitteella kattaa vain toisen niistä.

Kaksipäinen merkintä pitää parin järjestyksessä. Alla oleva taulukko käyttää yksityisiä osoitteita havainnollistuksena, joten korvaa ne niillä, joita polkusi todella käyttää.

Vahvista lähde sen sijaan, että arvaisit sen. Seuraa NPS:n tai palomuurin lokia yhden yrityksen aikana tai kaappaa NPS-isännällä komennolla sudo tcpdump -ni any udp port 1812. Kyseisen kaappauksen osoite on ainoa puolustettava vastaus asiakasmerkinnälle. Jos yhdyskäytävällä on useita mahdollisia lähteitä, rekisteröi jokainen oman ystävällisen nimensä alle.

Jaettu salaisuus on yhdyskäytävän ja NPS:n välinen arvo

Jaettu salaisuus todentaa laitteiden välisen suhteen. Se ei ole käyttäjän salasana, eikä sitä koskaan jaeta henkilöstölle tai upoteta asiakasprofiileihin.

Valitse yksi arvo, syötä se molempiin paikkoihin ja tallenna se sinne, missä yhdyskäytävän kokoonpanon varmuuskopio sijaitsee. Epäjohdonmukaisuus tuottaa pyynnön, jonka NPS pudottaa ilman hyödyllistä virhettä, eikä sitä voi yhdyskäytävän lokissa erottaa tavoittamattomasta palvelimesta. Kierrätä se huoltoikkunan aikana ja päivitä molemmat päät samassa muutoksessa.

Vahvista yhdellä sallitulla pyynnöllä

Käytä hallittua tiliä ja korreloi yksi yritys molemmilla puolilla. Yhdyskäytävällä vahvista, että pyyntö lähti kohti aiottua palvelinta; NPS:ssä vahvista, että se saapui rekisteröidyltä asiakkaalta ja vastasi odotettua yhteydenpyyntökäytäntöä. Aikakatkaisu ja hylkäys tarkoittavat eri asioita, ja molempien käsitteleminen tunnistetieto-ongelmana tuhlaa seuraavan tunnin. Testaa sitten kelvollinen mutta kelpaamaton tili ja väärä salasana, koska käytäntö, joka hyväksyy kaiken, läpäisee myös ensimmäisen testin.

Tarkista lopuksi, mitä yhdyskäytävä tekee palautetulla valtuutuksella. RADIUS-asiakkaan rekisteröinti vain sallii laitteen osallistua; se ei anna jokaiselle syntyvälle istunnolle pääsyä lähiverkkoon.

Pidä diagnostiikan tuloste rajattuna: ei jaettuja salaisuuksia, ei käyttäjien salasanoja, ei täydellisiä pakettihyötykuormia tukilippuun. Jos suunnittelu vaatii, että NPS-palvelin lukee hakemistomääritteitä, kyseinen lupa on erillinen hallinnollinen tehtävä asiakasrekisteröinnistä, ja puuttuessaan se epäonnistuu eri tavalla.