IP קבוע ל-VPN: Framed-IP-Address ב-RADIUS או הקצאה במאגר

שלושה מקומות יכולים להחזיק כתובת פנימית קבועה עבור לקוח VPN, ורק אחד מהם צריך להחזיק בה. RADIUS יכול להחזיר את הכתובת ב-Access-Accept, השער יכול לשמור מיפוי סטטי עבור החשבון, וניתן להגדיר את מתאם הלקוח ביד. השניים הראשונים הם מדיניות והשלישי הוא ניחוש מקומי שהשער חופשי להתעלם ממנו או לדרוס אותו. הבחירה בין השניים הראשונים היא ההחלטה האמיתית, והיא תלויה במה ששרת הגישה לרשת באמת מיישם.

שלושה מקומות שבהם כתובת קבועה יכולה לשכון

RADIUS מחזיק בכתובת כאשר התשובה נושאת Framed-IP-Address והשער מיישם את הערך הזה על הסשן. השער מחזיק בה כאשר מנהל ממפה את החשבון לכתובת סטטית בתוך המאגר. הלקוח אינו מחזיק בדבר, גם כשהמתאם שלו מציג כתובת ידנית, מפני שהשרת מקצה את הכתובת הפנימית במהלך המשא ומתן והגדרה מקומית חשובה רק כאשר השרת אינו שולח דבר. שלושתם נראים זהים בחיבור עובד, ולכן התנגשויות מתגלות באיחור. ההבדל נראה בהתחברות מחדש, במכשיר שני ולאחר שינוי מדיניות.

שני בעלים הוא התצורה שנשברת. תשובת RADIUS שמקצה 172.28.4.77 בזמן שהשער מחזיק מיפוי סטטי ל-172.28.4.90 מחזירה את הערך שקוד הספק בודק ראשון, והמפסיד נזרק בלי שורת לוג. אותו חשבון במכשיר שני מקבל אז כתובת כפולה, והתסמין נקרא כתקלת ניתוב ולא כהתנגשות הקצאה. הכריעו בבעלים לפני שמוסיפים את המנגנון השני.

האפשרות בצד הלקוח ראויה לאזכור רק כדי לשלול אותה. כתובת מתאם ידנית היא העדפה שמערכת ההפעלה עשויה להציג, לא הקצאה, והיא אינה יכולה למנוע מסשן אחר לקבל את אותה כתובת.

מה תשובת RADIUS יכולה להבטיח ומה לא

RFC 2865מגדיר את Framed-IP-Address ככתובת ה-IPv4 שיש להגדיר למשתמש, והיא שייכת ל-Access-Accept. אותה תכונה ב-Access-Request היא רק רמז שהשרת רשאי להתעלם ממנו, וזה חשוב כאשר לקוח או שער מציע כתובת מועדפת. שום דבר בפרוטוקול אינו כופה על השער לכבד את התשובה, משום ששרת הגישה לרשת הוא הרכיב שמיישם אותה על הסשן.

תמיכה היא שאלה של מוצר ולא של פרוטוקול. שערים אחדים מיישמים כתובות ממוסגרות כברירת מחדל, אחרים זקוקים למתג ברמת הקבוצה לפני שהם עושים זאת, ואחרים מקבלים את התכונה ואינם משתמשים בה לעולם בסשנים של גישה מרחוק. המקרה האחרון הוא המסוכן, משום שרישום החשבונאות יכול להראות את התשובה בזמן שהלקוח מקבל כתובת מהמאגר. אשרו את ההתנהגות בדגם השער ובקושחה המדויקים שאתם מריצים, לא בתיעוד של מוצר אחות.

תשובה שהשער מתעלם ממנה נראית בדיוק כמו תשובה שלא נשלחה מעולם. קריאת ה-Access-Accept וכתובת הסשן זו לצד זו היא הדרך היחידה להפריד בין שני המקרים.

הקצו את הכתובת בתוך המאגר שאתם כבר מנתבים

בחרו את הכתובת הקבועה מתת-הרשת של המאגר שהשער כבר מנתב ושה-firewall כבר סומך עליה. כתובת מחוץ לטווח הזה הופכת שינוי מדיניות לפרויקט ניתוב, וה-VPN יעלה בעוד ששום דבר מאחוריו לא יוכל להשיב. אם קיימים כללי גישה לפי כתובת, הוסיפו את הכתובת הקבועה אליהם באותו שינוי.

החליטו מה סשן שני במקביל צריך לעשות. הקצאת כתובת אחת פעמיים אינה ניהול מכשירים, וההתנגשות הנובעת מכך מופיעה כקישוריות לסירוגין לשני הסשנים. או הנפיקו זהויות נפרדות לכל מכשיר, או הקצאות נפרדות, או כפו מקביליות בבדיקה נתמכת, כגון Simultaneous-Use, במקום לקוות שהלקוח לא יתחבר מחדש לפני שהסשן הישן יפוג.

מסלולי החזרה ראויים לאותה תשומת לב כמו ההקצאה. השער זקוק למסלול אל המאגר, הנתבים הפנימיים זקוקים למסלול חזרה אל השער, והכתובת הקבועה יורשת את שניהם. לקוח יחיד שעובד בעוד כל האחרים נכשלים פירושו בדרך כלל שמסלול המאגר קיים אבל מסלול המארח לכתובת השמורה אינו קיים.

בדקו את התשובה לפני שתסמכו על ההקצאה

בדקו את צד AAA ואת צד הסשן בנפרד, משום שהם נכשלים מסיבות שונות. radtest מקומי מראה מה השרת מחזיר עבור החשבון בלי לערב את השער, והרשומה בקובץ המשתמשים מראה למה השרת אמור להתאים. אחר כך חברו את הלקוח מחדש והשוו את הכתובת שקיבל לתכונה בתשובה.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Access-Accept בלי התכונה פירושו שהשרת לא התאים את הרשומה או שהתכונה לא הוחלה על אותו משתמש. Access-Accept עם התכונה ולקוח שעדיין מקבל כתובת מהמאגר פירושו שהשער התעלם ממנה. Access-Reject מחזיר אתכם לאישורי הכניסה או למדיניות הקבוצה, ואף אחת מהתוצאות האלה אינה צריכה להיות מאובחנת על ידי עריכת מתאם הלקוח.

חזרו על הבדיקה לאחר התחברות מחדש ואחרי כניסה שנייה ממכשיר אחר. הקצאה שמחזיקה רק לסשן הראשון היא התנגשות מאגר שממתינה לקרות, וזול יותר למצוא אותה עכשיו מאשר במהלך ביקורת.

בחרו בעלים אחד וכתבו אותו

אם השער מיישם כתובות ממוסגרות באופן אמין, תנו ל-RADIUS להחזיק בהקצאה והסירו כל מיפוי סטטי לאותו חשבון. אם לא, תנו לשער להחזיק בה והסירו את התכונה מהתשובה, כדי ששני המקורות לא יוכלו לחלוק. החזקה של שניהם משום שכל אחד כמעט עובד מבטיחה סשן עתידי עם הכתובת הלא נכונה ובלי סיבה ברורה.

כתבו את הבעלים שנבחר, הכתובת השמורה והמאגר שממנו היא באה ברשומת החשבון. האדם הבא שמוסיף מכשיר יוכל לראות אם הכתובת היא מדיניות AAA או מיפוי בשער לפני שישנה אחד מהם.