IP fixa de VPN: Framed-IP-Address de RADIUS ou unha reserva no pool

Tres lugares poden gardar un enderezo interno fixo para un cliente VPN, e só un deles debería posuílo. RADIUS pode devolver o enderezo nun Access-Accept, a pasarela pode manter unha asignación estática para a conta, e o adaptador do cliente pódese configurar a man. Os dous primeiros son política e o terceiro é unha suposición local que a pasarela é libre de ignorar ou sobrescribir. Escoller entre os dous primeiros é a decisión real, e depende do que o servidor de acceso á rede implemente realmente.

Tres lugares onde pode vivir un enderezo fixo

RADIUS posúe o enderezo cando a resposta leva Framed-IP-Address e a pasarela aplica ese valor á sesión. A pasarela posúeo cando un administrador asigna a conta a un enderezo estático dentro do pool. O cliente non posúe nada, nin sequera cando o seu adaptador mostra un enderezo manual, porque o servidor asigna o enderezo interno durante a negociación e un axuste local só importa cando o servidor non envía ningún. Os tres parecen idénticos nunha conexión que funciona, e por iso os conflitos saen tarde. A diferenza aparece ao reconectar, nun segundo dispositivo e tras un cambio de política.

Dous propietarios é a configuración que se rompe. Unha resposta de RADIUS que asigna 172.28.4.77 mentres a pasarela mantén unha asignación estática para 172.28.4.90 entrega o valor que o código do fabricante comproba primeiro, e o perdedor descártase sen unha liña de rexistro. A mesma conta nun segundo dispositivo recibe entón un enderezo duplicado, e o síntoma lese como un fallo de encamiñamento en lugar dun conflito de asignación. Resolva o propietario antes de engadir o segundo mecanismo.

A opción do lado do cliente merece nomearse só para poder descartala. Un enderezo manual do adaptador é unha preferencia que o sistema operativo pode presentar, non unha reserva, e non pode impedir que outra sesión reciba o mesmo enderezo.

Que pode prometer a resposta de RADIUS e que non

RFC 2865define Framed-IP-Address como o enderezo IPv4 que se debe configurar para o usuario, e pertence a Access-Accept. O mesmo atributo en Access-Request é só unha pista que o servidor pode ignorar, o que importa cando un cliente ou unha pasarela ofrece un enderezo preferido. Nada no protocolo obriga a pasarela a respectar a resposta, porque o servidor de acceso á rede é o compoñente que a aplica á sesión.

O soporte é unha cuestión de produto e non de protocolo. Algunhas pasarelas aplican enderezos enmarcados por defecto, outras necesitan un interruptor a nivel de grupo antes de facelo, e outras aceptan o atributo e nunca o usan para sesións de acceso remoto. Ese último caso é o perigoso, porque o rexistro de contabilidade pode mostrar a resposta mentres o cliente recibe un enderezo do pool. Confirme o comportamento no modelo exacto de pasarela e no firmware que executa, non na documentación dun produto irmán.

Unha resposta que a pasarela ignora parece exactamente unha resposta que nunca se enviou. Ler o Access-Accept e o enderezo da sesión un ao lado do outro é a única forma de separar os dous casos.

Reserve o enderezo dentro do pool que xa encamiña

Escolla o enderezo fixo da subrede do pool que a pasarela xa encamiña e na que o firewall xa confía. Un enderezo fóra dese rango converte un cambio de política nun proxecto de encamiñamento, e a VPN subirá mentres nada detrás dela poderá responder. Se existen regras de acceso por enderezo, engada o enderezo fixo a elas no mesmo cambio.

Decida que debe facer unha segunda sesión simultánea. Asignar un enderezo dúas veces non é xestión de dispositivos, e a colisión resultante aparece como conectividade intermitente para ambas as sesións. Ou emite identidades distintas por dispositivo, ou asignacións distintas, ou impón a simultaneidade cunha comprobación admitida, como Simultaneous-Use, en lugar de esperar que o cliente nunca se reconecte antes de que caduque a sesión antiga.

As rutas de retorno merecen a mesma atención que a asignación. A pasarela necesita unha ruta ao pool, os encamiñadores internos necesitan unha ruta de volta á pasarela, e o enderezo fixo herda ambas. Un só cliente que funciona mentres todos os demais fallan adoita significar que a ruta do pool existe pero a ruta de host para o enderezo reservado non.

Probe a resposta antes de confiar na reserva

Probe o lado AAA e o lado da sesión por separado, porque fallan por motivos distintos. Un radtest local mostra o que o servidor devolve para a conta sen implicar a pasarela, e a entrada do ficheiro de usuarios mostra con que debe coincidir o servidor. Despois reconecte o cliente e compare o enderezo que recibiu co atributo da resposta.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Un Access-Accept sen o atributo significa que o servidor non coincidiu coa entrada ou que o atributo non se aplicou a ese usuario. Un Access-Accept co atributo e un cliente que segue recibindo un enderezo do pool significa que a pasarela o ignorou. Un Access-Reject devólveo ás credenciais ou á política de grupo, e ningún destes resultados debería depurarse editando o adaptador do cliente.

Repita a comprobación tras unha reconexión e tras un segundo inicio de sesión desde outro dispositivo. Unha reserva que só aguanta a primeira sesión é un conflito de pool esperando a ocorrer, e é máis barato atopalo agora que durante unha auditoría.

Escolla un só propietario e anóteo

Se a pasarela aplica os enderezos enmarcados de forma fiable, deixe que RADIUS posúa a asignación e elimine calquera asignación estática para a mesma conta. Se non o fai, deixe que a posúa a pasarela e elimine o atributo da resposta, para que as dúas fontes non poidan discrepar. Manter ambas porque cada unha case funciona garante unha sesión futura co enderezo equivocado e sen causa evidente.

Anote o propietario elixido, o enderezo reservado e o pool do que provén no rexistro da conta. A seguinte persoa que engada un dispositivo poderá ver se o enderezo é unha política AAA ou unha asignación da pasarela antes de cambiar calquera das dúas.