RADIUS Framed-IP-Address foar in stiif VPN-klantadres

RADIUS kin in adres foar in beskaat brûker weromjaan; oft de tunnel it echt krijt, hinget fan de gateway ôf. Krekt yn dat gat tusken weromjûn en tapast mislearje de measte plannen foar in stiif adres. In attribút yn in testantwurd bewiist dat de server it stjoere kin, net dat de remote-access-tsjinst it tapast. De folchoarder hjirûnder kontrolearret beide helten foardat it adres yn firewallregels belânet.

Beslis hokker laach it adres besit

Remote-access-gateways hawwe meastentiids in lokale pool, en in protte kinne ek in adres út it autentikaasje-antwurd akseptearje. Hokker fan beide wint, hinget ôf fan it platfoarm, it protokol en de tsjinstkonfiguraasje, dus lês de foarrangsregel foar de krekte ferzje dy't brûkt wurdt. Wêr't de lokale pool foarrang hat, is it attribút fersiering en komt de klant dochs op in tafallich adres telâne. Skriuw de beslissing op, ek oft in weromjûn wearde binnen it poalberik lizze moat of derbûten falle mei.

RFC 2865 definiearret Framed-IP-Address as it adres dat foar de brûker ynsteld wurde moat, en seit neat oer de reeheid fan in bepaalde gateway om dat te respektearjen. Leveransiersdokumintaasje is de autoriteit oer foarrang, net de definysje fan it attribút.

Stjoer in testfersyk en lês it antwurd

Testearje earst de server op himsels, sadat in ûntbrekkend attribút net oansjoen wurdt foar in gatewayprobleem. radtest stjoert ien Access-Request en printet de attributen dy't weromkomme.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Sykje Framed-IP-Address yn 'e Access-Accept en befêstigje dat de wearde de bedoelde is en net in pooladres út in fallbackregel. As it attribút ûntbrekt, komme de brûkersynstjoer of it autorisaasjebelied net oerien, en gateway-ôfstelling kin net leverje wat de server nea stjoerd hat. Werhelje it fersyk wylst de server yn debugmodus draait as it antwurd dreech oan in spesifike regel te keppeljen is. Hâld it dielde geheim bûten de shell-skiednis en tickets, want de plekhâlder hjirboppe is gjin ynlogningsbewiis.

Befêstigje oft de gateway de wearde folge hat

In kloppend antwurd is mar de helte fan it kontrakt. It adres dat op 'e tunnelinterface ferskynt, is de waarnimming dy't telt, en dat wurdt op 'e klant lêzen ynstee fan ôflaat fan 'e gatewaykonfiguraasje.

ip -4 addr show tun0

Fergelykje dat adres mei it attribút út 'e Access-Accept. In mismatch betsjut dat de gateway de wearde negearre of werskreaun hat, wat de foarrangsfraach fan 'e earste paragraaf wer iepenet. Ferbynje noch ien kear, want in reservaasje dy't allinnich by de earste poging wurket, wiist meast op in ferâldere sesje of in lease dy't noch troch de foarige ferbining fêsthâlden wurdt. Skriuw de gateway-ferzje en it protokol njonken it resultaat, sadat de folgjende persoan witte kin oft it gedrach ferzje-specifick is.

Plan foar tagelykheid en ynlûken

Ien brûkersnamme op twa apparaten kin net oan ien adres keppele wurde, útsein as de gateway de sesjes op wat oars as de oanmelding ûnderskiedt. Beslis oft de keppeling by in persoan, in registrearre apparaat of in sertifikaatidentiteit heart, en meitsje dy kar eksplisyt yn 'e beliedsopslach. Test in twadde tagelyk aktive klant en fergelykje beide tawiisde adressen, want in botsing hjir komt letter werom as in routeringsflater. Deselde soarch heart by it ynlûkplan, want in adres dat opnij tawiisd wurdt wylst âlde firewallregels der noch nei ferwize, wurdt in autorisaasjebag.

Stiif adressearjen ferienfâldiget regels en logs, mar it bewiist nea wa't in pakket makke hat. Autentikaasje en autorisaasje fan bestimming bliuwe fan belang as dat adres letter nei in oare sesje ferhuzet.