Fêste VPN-IP: RADIUS Framed-IP-Address of in poelreservearring

Trije plakken kinne in fêst yntern adres foar in VPN-klant hâlde, en mar ien fan har moat it besitte. RADIUS kin it adres weromjaan yn in Access-Accept, de gateway kin in statyske map foar it akkount hâlde, en de kliïntadapter kin mei de hân ynsteld wurde. De earste twa binne belied en de tredde is in pleatslike gissing dy’t de gateway frij is te negearjen of oer te skriuwen. Kieze tusken de earste twa is it echte beslút, en it hinget ôf fan wat de netwurkstagongsserver eins ymplemintearret.

Trije plakken dêr’t in fêst adres wêze kin

RADIUS besit it adres as it antwurd Framed-IP-Address befettet en de gateway dy wearde op ’e sesje tapast. De gateway besit it as in behearder it akkount oan in statysk adres yn ’e poel keppelt. De kliïnt besit neat, sels as syn adapter in hânmjittich adres sjen lit, om’t de server it ynterne adres by de ûnderhanneling tawijst en in pleatslike ynstelling allinnich fan belang is as de server neat stjoert. Alle trije lykje itselde op in wurkjende ferbining, en dêrom komme konflikten let oan it ljocht. It ferskil docht bliken by ferbining wer, op in twadde apparaat en nei in beliedswiziging.

Twa eigners is de konfiguraasje dy’t brekt. In RADIUS-antwurd dat 172.28.4.77 tawijst wylst de gateway in statyske map foar 172.28.4.90 hâldt, jout de wearde dy’t de koade fan ’e fabrikant earst kontrolearret, en de ferliezer wurdt sûnder logrigel fuortsmiten. Itselde akkount op in twadde apparaat krijt dan in dûbel adres, en it symptoom wurdt lêzen as in routeringsflater ynstee fan in tawizingskonflikt. Beslis de eigner foardat jo it twadde meganisme tafoegje.

De kliïntkantopsje is allinnich it neamen wurdich om’t it útsletten wurde kin. In hânmjittich adapteradres is in foarkar dy’t it bestjoeringssysteem presintearje kin, gjin reservearring, en it kin net foarkomme dat in oare sesje itselde adres krijt.

Wat it RADIUS-antwurd belove kin en wat net

RFC 2865definiearret Framed-IP-Address as it IPv4-adres dat foar de brûker ynsteld wurde moat, en it heart yn Access-Accept. Deselde attribút yn Access-Request is mar in oanwizing dy’t de server negearje kin, wat fan belang is as in kliïnt of gateway in foarkarsadres oanbiedt. Neat yn it protokol twingt de gateway it antwurd te earjen, om’t de netwurkstagongsserver it ûnderdiel is dat it op ’e sesje tapast.

Stipe is in produktfraach ynstee fan in protokolfraach. Guon gateways tapasse ramme adressen standert ta, oaren hawwe in skeakel op groepsnivo nedich foardat se dat dogge, en wer oaren akseptearje de attribút en brûke it nea foar sesjes foar tafal fan fierrens. Dat lêste gefal is it gefaarlike, om’t it boekhâldingsrecord it antwurd sjen litte kin wylst de kliïnt in poeladres krijt. Befêstigje it gedrach op it krekte gatewaymodel en firmware dat jo draaie, net yn ’e dokumintaasje fan in sustersprodukt.

In antwurd dat de gateway negearret sjocht der krekt sa út as in antwurd dat nea stjoerd is. It Access-Accept en it sesje-adres njonken elkoar lêze is de iennichste manier om de twa gefallen te skieden.

Reservearje it adres binnen de poel dy’t jo al routearje

Kies it fêste adres út it poelsubnet dat de gateway al routearret en dêr’t de firewall al op fertrout. In adres bûten dat berik makket fan in beliedswiziging in routeringsprojekt, en de VPN sil omheech komme wylst neat derachter antwurdzje kin. As der tagongsregels per adres binne, foegje it fêste adres dan yn deselde wiziging ta.

Beslis wat in twadde simultane sesje dwaan moat. Ien adres twa kear tawize is gjin apparaatbehear, en de resultearjende botsing ferskynt as ûnderbrutsen ferbining foar beide sesjes. Of jou aparte identiteiten per apparaat út, of aparte tawizings, of twing simultaniteit ôf mei in stipe kontrôle, lykas Simultaneous-Use, ynstee fan te hoopjen dat de kliïnt nea opnij ferbynt foardat de âlde sesje ferrint.

Weromrûtes fertsjinje likefolle oandacht as de tawizing. De gateway hat in rûte nei de poel nedich, de ynterne routers hawwe in rûte werom nei de gateway nedich, en it fêste adres erft beide. Ien kliïnt dy’t wurket wylst alle oare kliïnten mislearje, betsjut meast dat de poelrûte bestiet mar de hostrûte foar it reservearre adres net.

Test it antwurd foardat jo de reservearring fertrouwe

Test de AAA-kant en de sesjekant apart, om’t se om ferskillende redenen mislearje. In pleatslike radtest lit sjen wat de server foar it akkount weromjout sûnder de gateway te belûken, en de ynfier yn it brûkersbestân lit sjen wêr’t de server mei oerienkomme moat. Ferbyn dan de kliïnt opnij en fergelykje it adres dat er krige mei de attribút yn it antwurd.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

In Access-Accept sûnder de attribút betsjut dat de server de ynfier net fûn of dat de attribút net op dy brûker tapast is. In Access-Accept mei de attribút en in kliïnt dy’t noch hieltyd in poeladres krijt, betsjut dat de gateway it negearre hat. In Access-Reject stjoert jo werom nei de oanmeldgegevens of it groepsbelied, en gjin fan dizze útkomsten moat debugd wurde troch de kliïntadapter te bewurkjen.

Werhelje de kontrôle nei in nije ferbining en nei in twadde oanmelding fan in oar apparaat. In reservearring dy’t allinnich foar de earste sesje hâldt, is in poelkonflikt dy’t wachtet om te barren, en it is goedkeaper om it no te finen as by in audit.

Kies ien eigner en skriuw it op

As de gateway ramme adressen betrouber tapast, lit RADIUS dan de tawizing besitte en ferwiderje elke statyske map foar itselde akkount. As dat net sa is, lit de gateway it dan besitte en ferwiderje de attribút út it antwurd, sadat de twa boarnen net ferskille kinne. Beide hâlde om’t elk hast wurket, garandearret in takomstige sesje mei it ferkearde adres en sûnder fanselssprekkende oarsaak.

Skriuw de keazen eigner, it reservearre adres en de poel dêr’t it wei komt yn it akkountrecord. De folgjende persoan dy’t in apparaat tafoeget, kin dan sjen oft it adres in AAA-belied of in gatewaymap is foardat er ien fan beide feroaret.