Vakaa VPN-asiakasosoite RADIUS-palvelimen Framed-IP-Address-ominaisuudella

RADIUS voi vastata tietylle käyttäjälle osoitteella; saako tunneli sen todella, riippuu yhdyskäytävästä. Juuri tässä palautetun ja toteutetun välisessä kuilussa useimmat vakaan osoitteen suunnitelmat epäonnistuvat. Testivastauksen määre todistaa, että palvelin voi lähettää sen, ei sitä, että etäkäyttöpalvelu soveltaa sitä. Alla oleva järjestys tarkistaa molemmat puolet ennen kuin osoite päätyy palomuurisääntöihin.

Päätä, mikä kerros omistaa osoitteen

Etäkäyttöyhdyskäytävillä on yleensä paikallinen varanto, ja monet voivat hyväksyä osoitteen myös todennusvastauksesta. Kumpi voittaa, riippuu alustasta, protokollasta ja palvelun kokoonpanosta, joten lue ensisijaisuussääntö täsmälleen käytössä olevalle versiolle. Missä paikallisella varannolla on etusija, määre on pelkkä koriste ja asiakas päätyy silti satunnaiseen osoitteeseen. Kirjaa päätös, mukaan lukien se, onko palautetun arvon oltava varannon alueella vai saako se olla sen ulkopuolella.

RFC 2865 määrittelee Framed-IP-Address osoitteeksi, joka käyttäjälle tulee määrittää, eikä kerro mitään minkään tietyn yhdyskäytävän halukkuudesta kunnioittaa sitä. Valmistajan dokumentaatio on ensisijaisuuden auktoriteetti, ei määreen määritelmä.

Lähetä testipyyntö ja lue vastaus

Testaa palvelin ensin erikseen, jotta puuttuvaa määrettä ei luulla yhdyskäytävän ongelmaksi. radtest lähettää yhden Access-Requestin ja tulostaa takaisin tulevat määreet.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Etsi Framed-IP-Address Access-Acceptista ja varmista, että arvo on aiottu eikä varavarannon osoite varasäännöstä. Kun määre puuttuu, käyttäjätietue tai valtuutuskäytäntö ei täsmää, eikä yhdyskäytävän viritys voi tarjota sitä, mitä palvelin ei koskaan lähettänyt. Toista pyyntö, kun palvelin on vianmääritystilassa, jos vastausta on vaikea jäljittää tiettyyn sääntöön. Pidä jaettu salaisuus poissa komentotulkin historiasta ja tiketeistä, sillä yllä oleva paikkamerkki ei ole käyttäjätieto.

Varmista, että yhdyskäytävä kunnioitti arvoa

Oikea vastaus on vain puolet sopimuksesta. Osoite, joka näkyy tunnelin rajapinnalla, on ratkaiseva havainto, ja se luetaan asiakkaalta eikä päätellä yhdyskäytävän kokoonpanosta.

ip -4 addr show tun0

Vertaa tätä osoitetta Access-Acceptin määreeseen. Poikkeama tarkoittaa, että yhdyskäytävä jätti arvon huomiotta tai kirjoitti sen uudelleen, mikä avaa uudelleen ensimmäisen osan ensisijaisuuskysymyksen. Yhdistä vielä kerran, sillä varaus, joka toimii vain ensimmäisellä yrityksellä, viittaa yleensä vanhentuneeseen istuntoon tai vuokraan, jota edellinen yhteys yhä pitää. Merkitse yhdyskäytävän versio ja protokolla tuloksen viereen, jotta seuraava henkilö näkee, onko käytös versiokohtaista.

Suunnittele samanaikaisuus ja peruutus

Yksi käyttäjänimi kahdella laitteella ei voi vastata yhtä osoitetta, ellei yhdyskäytävä erota istuntoja jollain kirjautumisen ulkopuolisella seikalla. Päätä, kuuluuko kartoitus henkilölle, rekisteröidylle laitteelle vai varmenteen identiteetille, ja tee valinta selväksi käytäntövarastossa. Testaa toinen samanaikainen asiakas ja vertaa molempia annettuja osoitteita, sillä törmäys täällä palaa myöhemmin reititysvirheenä. Sama huolellisuus kuuluu peruutussuunnitelmaan, sillä uudelleen jaettu osoite muuttuu valtuutusvirheeksi, kun vanhat palomuurisäännöt yhä viittaavat siihen.

Vakaa osoitteistus yksinkertaistaa sääntöjä ja lokeja, mutta se ei koskaan todista, kuka paketin loi. Todennus ja kohteen valtuutus ovat yhä tärkeitä, kun osoite myöhemmin siirtyy toiseen istuntoon.