Framed-IP-Address של RADIUS לכתובת לקוח VPN יציבה

RADIUS יכול להשיב בכתובת עבור משתמש מסוים; אם המנהרה אכן מקבלת אותה תלוי בשער. דווקא בפער הזה בין מה שהוחזר למה שיושם נכשלות רוב התוכניות לכתובת יציבה. תכונה בתשובת בדיקה מוכיחה שהשרת יכול לשלוח אותה, ולא ששירות הגישה מרחוק מיישם אותה. הרצף שלהלן בודק את שני החצאים לפני שהכתובת מגיעה לכללי חומת האש.

החליטו איזו שכבה מחזיקה בכתובת

לשערי גישה מרחוק יש בדרך כלל מאגר מקומי, ורבים יכולים לקבל כתובת גם מתשובת האימות. מי מנצח תלוי בפלטפורמה, בפרוטוקול ובתצורת השירות, לכן קראו את כלל הקדימות עבור הגרסה המדויקת שבשימוש. במקום שבו למאגר המקומי יש עדיפות, התכונה היא רק קישוט והלקוח בכל זאת נוחת על כתובת אקראית. רשמו את ההחלטה, כולל אם ערך מוחזר חייב להימצא בטווח המאגר או יכול להיות מחוצה לו.

RFC 2865 מגדיר את Framed-IP-Address ככתובת שיש להגדיר עבור המשתמש, ואינו אומר דבר על נכונותו של שער מסוים לכבד אותה. התיעוד של היצרן הוא הסמכות בנושא קדימות, ולא הגדרת התכונה.

שלחו בקשת בדיקה וקראו את התשובה

בדקו תחילה את השרת בנפרד, כדי שתכונה חסרה לא תיחשב בטעות לבעיית שער. radtest שולח Access-Request אחד ומדפיס את התכונות שמוחזרות.

radtest alice 'S3cret' 127.0.0.1 0 testing123

חפשו את Framed-IP-Address ב-Access-Accept ואשרו שהערך הוא המיועד ולא כתובת מאגר מכלל גיבוי. כשהתכונה חסרה, רשומת המשתמש או מדיניות ההרשאה אינן תואמות, וכיוון השער אינו יכול לספק את מה שהשרת מעולם לא שלח. חזרו על הבקשה בזמן שהשרת פועל במצב ניפוי שגיאות אם קשה לעקוב אחרי התשובה עד לכלל מסוים. שמרו את הסוד המשותף מחוץ להיסטוריית ה-shell ולכרטיסים, כי מציין המקום שלמעלה אינו אישור גישה.

אשרו שהשער כיבד את הערך

תשובה נכונה היא רק חצי מהחוזה. הכתובת שמופיעה בממשק המנהרה היא התצפית שחשובה, והיא נקראת בלקוח ולא נגזרת מתצורת השער.

ip -4 addr show tun0

השוו את הכתובת הזו לתכונה מ-Access-Accept. אי-התאמה משמעה שהשער התעלם מהערך או שכתב אותו, מה שפותח מחדש את שאלת הקדימות מהחלק הראשון. התחברו שוב פעם אחת, כי הזמנה שעובדת רק בניסיון הראשון מעידה בדרך כלל על הפעלה מיושנת או על חכירה שעדיין מוחזקת בידי החיבור הקודם. רשמו את גרסת השער והפרוטוקול לצד התוצאה, כדי שהאדם הבא יוכל לדעת אם ההתנהגות תלוית גרסה.

תכננו מקביליות וביטול

שם משתמש אחד בשני מכשירים אינו יכול להתמפות לכתובת אחת אלא אם השער מבדיל בין ההפעלות במשהו מעבר לכניסה. החליטו אם המיפוי שייך לאדם, למכשיר רשום או לזהות תעודה, ועשו את הבחירה הזו מפורשת במאגר המדיניות. בדקו לקוח שני במקביל והשוו את שתי הכתובות שהוקצו, כי התנגשות כאן מופיעה שוב מאוחר יותר כשגיאת ניתוב. אותה זהירות נדרשת בתוכנית הביטול, כי כתובת שמוקצית מחדש בזמן שכללי חומת אש ישנים עדיין מפנים אליה הופכת לבאג הרשאה.

כתובות יציבה מפשטת כללים ויומנים, אך אינה מוכיחה לעולם מי יצר את החבילה. אימות והרשאת יעד עדיין חשובים כשהכתובת הזו עוברת מאוחר יותר להפעלה אחרת.