Que enderezo se rexistra como cliente RADIUS de NPS?

Unha pasarela VPN que entrega a autenticación a Windows NPS necesita un obxecto do lado de NPS antes de que poida executarse calquera política de usuario: unha entrada de cliente RADIUS para a pasarela. A maioría dos intentos fallidos rexistran o enderezo incorrecto, porque o enderezo que importa é o que usa a pasarela na súa ruta de backend, non o nome de host que o persoal escribe na súa aplicación VPN. Se ese valor é erróneo, NPS descarta a solicitude en silencio, o que desde o lado do cliente parece un contrasinal incorrecto. Tres condicións deciden que enderezo pertence ao campo, así que resólveas antes de abrir a consola.

Rexistre a pasarela, non os portátiles nin o conxunto

O obxecto de cliente RADIUS representa o dispositivo de acceso á rede que envía solicitudes de autenticación. É a pasarela VPN, non cada portátil que executa o cliente, nin o rango de enderezos que se entregan dentro dos túneles.

Eses enderezos de túnel nunca aparecen como orixe dunha solicitude RADIUS, porque a solicitude viaxa pola ruta de rede propia da pasarela. Rexistrar unha entrada de conxunto de clientes produce unha política que nunca pode coincidir, mentres que a solicitude real chega desde un enderezo que NPS nunca escoitou. A mesma confusión leva a engadir o IP doméstico de cada empregado, algo que é á vez insostible e incorrecto.

Tres condicións deciden o enderezo que se introduce

Primeiro, atope o enderezo de orixe que a pasarela usa realmente cara a NPS. Unha pasarela con varias interfaces adoita enviar desde unha interface de xestión ou de backend en lugar do seu oínte VPN público. Segundo, comprobe se hai NAT entre ambas: se a solicitude se traduce, NPS ve o enderezo traducido, e ese é o valor que hai que rexistrar. Terceiro, se dúas pasarelas comparten o rol, cada orixe de solicitude necesita a súa propia entrada de cliente, porque un só obxecto cun enderezo só cobre unha delas.

Un rexistro de dous extremos mantén a parella en orde. A táboa seguinte usa enderezos privados como ilustración, así que substitúa os que a súa ruta realmente utiliza.

Confirme a orixe en lugar de adiviñala. Observe o rexistro de NPS ou da devasa durante un intento, ou capture no host de NPS con sudo tcpdump -ni any udp port 1812. O enderezo desa captura é a única resposta defendible para a entrada de cliente. Se a pasarela ten varias orixes posibles, rexistre cada unha co seu propio nome descritivo.

O segredo compartido é un valor entre a pasarela e NPS

O segredo compartido autentica a relación entre dispositivos. Non é un contrasinal de usuario e nunca se distribúe ao persoal nin se insire en perfís de cliente.

Escolla un valor, introdúzao nos dous lugares e gárdeo onde vive a copia de seguridade da configuración da pasarela. Unha discrepancia produce unha solicitude que NPS descarta sen un erro útil, algo que no rexistro da pasarela non se distingue dun servidor inalcanzable. Róteo durante unha xanela de mantemento e actualice os dous extremos no mesmo cambio.

Confirme cunha solicitude permitida

Use unha conta controlada e correlacione un só intento nos dous lados. Na pasarela, confirme que a solicitude saíu cara ao servidor previsto; en NPS, que chegou desde o cliente rexistrado e que coincidiu coa política de solicitude de conexión esperada. Un tempo de espera e un rexeitamento significan cousas distintas, e tratar ambos como un problema de credenciais desperdicia a hora seguinte. Despois probe unha conta válida pero non elixible e un contrasinal incorrecto, porque unha política que acepta todo tamén pasa a primeira proba.

Por último, comprobe que fai a pasarela coa autorización devolta. Rexistrar un cliente RADIUS só permite que o dispositivo participe; non concede acceso á LAN a cada sesión resultante.

Manteña a saída de diagnóstico acoutada: sen segredos compartidos, sen contrasinais de usuario, sen cargas completas de paquetes nun tícket de asistencia. Se o deseño esixe que o servidor NPS lea atributos do directorio, ese permiso é unha tarefa administrativa separada do rexistro do cliente, e cando falta falla doutro xeito.