Koju adresu registrirate kao NPS RADIUS klijenta?

VPN pristupnik koji provjeru identiteta predaje Windows NPS-u treba jedan objekt na strani NPS-a prije nego što ikakva korisnička politika može raditi: unos RADIUS klijenta za pristupnik. Većina neuspjelih pokušaja registrira pogrešnu adresu, jer je važna adresa ona koju pristupnik koristi na svom pozadinskom putu, a ne ime hosta koje osoblje upisuje u svoju VPN aplikaciju. Ako tu vrijednost pogriješite, NPS tiho odbacuje zahtjev, što sa strane klijenta izgleda kao pogrešna lozinka. Tri uvjeta odlučuju koja adresa pripada u polje, zato ih razjasnite prije otvaranja konzole.

Registrirajte pristupnik, ne prijenosna računala ni skupinu

Objekt RADIUS klijenta predstavlja mrežni pristupni uređaj koji šalje zahtjeve za provjeru identiteta. To je VPN pristupnik, a ne svako prijenosno računalo na kojem radi klijent, i ne raspon adresa koje se dodjeljuju unutar tunela.

Te se adrese tunela nikada ne pojavljuju kao izvor RADIUS zahtjeva, jer zahtjev putuje vlastitim mrežnim putem pristupnika. Registriranje unosa skupine klijenata stvara politiku koja se nikada ne može podudarati, dok stvarni zahtjev dolazi s adrese za koju NPS nikada nije čuo. Ista zbrka navodi ljude da dodaju kućni IP svakog zaposlenika, što je istovremeno neodrživo i pogrešno.

Tri uvjeta odlučuju adresu koju upisujete

Prvo, pronađite izvornu adresu koju pristupnik stvarno koristi prema NPS-u. Pristupnik s više sučelja često šalje s upravljačkog ili pozadinskog sučelja, a ne sa svog javnog VPN slušatelja. Drugo, provjerite postoji li NAT između njih: ako se zahtjev prevodi, NPS vidi prevedenu adresu, i to je vrijednost koju treba registrirati. Treće, ako dva pristupnika dijele ulogu, svaki izvor zahtjeva treba vlastiti unos klijenta, jer jedan objekt s jednom adresom pokriva samo jedan od njih.

Zapis s dva kraja drži par urednim. Tablica u nastavku koristi privatne adrese za ilustraciju, zato ih zamijenite onima koje vaš put stvarno koristi.

Potvrdite izvor umjesto da nagađate. Promatrajte zapisnik NPS-a ili vatrozida tijekom jednog pokušaja ili snimite na hostu NPS-a s sudo tcpdump -ni any udp port 1812. Adresa u tom snimku jedini je obranjiv odgovor za unos klijenta. Ako pristupnik ima nekoliko mogućih izvora, registrirajte svaki pod vlastitim prijateljskim imenom.

Zajednička tajna je vrijednost između pristupnika i NPS-a

Zajednička tajna potvrđuje odnos uređaja. Ona nije korisnička lozinka i nikada se ne dijeli osoblju niti ugrađuje u profile klijenata.

Odaberite jednu vrijednost, upišite je na oba mjesta i pohranite tamo gdje živi sigurnosna kopija konfiguracije pristupnika. Neusklađenost stvara zahtjev koji NPS odbacuje bez korisne pogreške, što se u zapisniku pristupnika ne može razlikovati od nedostupnog poslužitelja. Rotirajte je u prozoru za održavanje i ažurirajte oba kraja u istoj promjeni.

Potvrdite jednim dopuštenim zahtjevom

Upotrijebite kontrolirani račun i povežite jedan pokušaj na obje strane. Na pristupniku potvrdite da je zahtjev otišao prema predviđenom poslužitelju; na NPS-u potvrdite da je stigao s registriranog klijenta i odgovarao očekivanoj politici zahtjeva za vezu. Istek vremena i odbijanje znače različite stvari, a tretiranje obojega kao problema s vjerodajnicama gubi sljedeći sat. Zatim testirajte valjan ali nepodoban račun i pogrešnu lozinku, jer politika koja prihvaća sve prolazi i prvi test.

Na kraju provjerite što pristupnik radi s vraćenim ovlaštenjem. Registriranje RADIUS klijenta samo dopušta uređaju sudjelovanje; ono ne daje svakoj nastaloj sesiji pristup LAN-u.

Držite dijagnostički izlaz ograničenim: bez zajedničkih tajni, bez korisničkih lozinki, bez cijelih sadržaja paketa u kartici podrške. Ako dizajn zahtijeva da NPS poslužitelj čita atribute imenika, to je dopuštenje odvojen administrativni zadatak od registracije klijenta i nedostaje li, ne uspijeva na drugi način.