Hokker adres registrearje jo as de NPS RADIUS-klant?

In VPN-poarte dy't autentikaasje oerdraacht oan Windows NPS hat oan 'e NPS-kant ien objekt nedich foardat hokker brûkersbelied dan ek rinne kin: in RADIUS-kliïntynstap foar de poarte. De measte mislearre pogingen registrearje it ferkearde adres, want it adres dat ta docht is datjinge dat de poarte op har backendpaad brûkt, net de hostnamme dy't personiel yn har VPN-app typt. Is dy wearde ferkeard, dan smyt NPS it fersyk stilwei fuort, wat fan 'e kliïntkant op in ferkeard wachtwurd liket. Trije betingsten beslisse hokker adres yn it fjild heart, dus wurkje se út foardat jo de konsole iepenje.

Registrearje de poarte, net de laptops of de poel

It RADIUS-kliïntobjekt fertsjintwurdiget it netwurktoegongsapparaat dat autentikaasjefersiken stjoert. Dat is de VPN-poarte, net elke laptop dy't de kliïnt draait, en net it berik adressen dat binnen tunnels útjûn wurdt.

Dy tunneladressen ferskine nea as de boarne fan in RADIUS-fersyk, want it fersyk reizget oer de eigen netwurkpaad fan 'e poarte. In kliïntepoelynstap registrearje jout in belied dat nea passe kin, wylst it echte fersyk fan in adres komt dêr't NPS noch nea fan heard hat. Deselde betizing liedt der ta dat minsken it thús-IP fan elke meiwurker tafoegje, wat sawol ûnûnderhâldber as ferkeard is.

Trije betingsten beslisse it adres dat jo ynfiere

Fyntearst it boarne-adres dat de poarte eins nei NPS ta brûkt. In poarte mei mear ynterfaces stjoert faak fan in behear- as backend-ynterface ynstee fan har iepenbiere VPN-ôfharker. Kontrolearje twadens oft der NAT tusken de twa sit: wurdt it fersyk oerset, dan sjocht NPS it oersetten adres, en dat is de wearde om te registrearjen. Tredens, as twa poarten de rol diele, dan hat elke fersykboarne syn eigen kliïntynstap nedich, want ien objekt mei ien adres dekt mar ien fan beide.

In record mei twa einen hâldt it pear rjocht. De tabel hjirûnder brûkt privee-adressen as yllustraasje, ferfang se dus troch dy't jo paad eins brûkt.

Befêstigje de boarne ynstee fan te rieden. Sjoch by ien poging nei it NPS- of firewalllog, of fang op 'e NPS-host mei sudo tcpdump -ni any udp port 1812. It adres yn dy opfang is it iennichste ferdigenbere antwurd foar de kliïntynstap. Hat de poarte ferskate mooglike boarnen, registrearje dan elk ûnder syn eigen freonlike namme.

It dielde geheim is in wearde tusken poarte en NPS

It dielde geheim autentisearret de relaasje tusken de apparaten. It is gjin brûkerswachtwurd en wurdt nea oan personiel ferdield of yn kliïntprofilen ynbêde.

Kies ien wearde, fier dy op beide plakken yn, en bewarje dy wêr't de konfiguraasjeback-up fan 'e poarte wennet. In misferstân jout in fersyk dat NPS sûnder nuttige flater fuortsmyt, en dat is yn it log fan 'e poarte net te ûnderskieden fan in net berikbere tsjinner. Rotaasje dy yn in ûnderhâldsfinster en bywurkje beide einen yn deselde feroaring.

Befêstigje mei ien tastien fersyk

Brûk in kontrolearre akkount en korrelearje ien poging oan beide kanten. By de poarte befêstigje jo dat it fersyk nei de bedoelde tsjinner gie; by NPS dat it fan 'e registrearre kliïnt kaam en by it ferwachte ferbiningsoanfreechbelied paste. In time-out en in ôfwizing betsjutte ferskillende dingen, en beide as in oanmeldprobleem behannelje kostet it folgjende oere. Test dan in jildich mar net-geskikt akkount en in ferkeard wachtwurd, want in belied dat alles akseptearret slagget ek foar de earste test.

Besjoch as lêste wat de poarte mei de weromjûne autorisaasje docht. It registrearjen fan in RADIUS-kliïnt lit it apparaat allinnich meidwaan; it jout net elke resultearjende sesje tagong ta it LAN.

Hâld diagnostyske útfier beheind: gjin dielde geheimen, gjin brûkerswachtwurden, gjin folsleine pakketladingen yn in stipekaart. As it ûntwerp freget dat de NPS-tsjinner mapattributen lêst, dan is dy tastimming in aparte administrative taak fan 'e kliïntregistraasje, en as dy mist mislearret it op in oare manier.