Framed-IP-Address u RADIUS-u za stabilnu adresu VPN klijenta

RADIUS može odgovoriti adresom za određenog korisnika; hoće li je tunel doista dobiti, ovisi o pristupniku. Upravo u tom jazu između vraćenog i primijenjenog propada većina planova za stabilnu adresu. Atribut u probnom odgovoru dokazuje da ga poslužitelj može poslati, a ne da ga usluga daljinskog pristupa primjenjuje. Slijed u nastavku provjerava obje polovice prije nego adresa završi u pravilima vatrozida.

Odlučite koji sloj posjeduje adresu

Pristupnici za daljinski pristup obično imaju lokalni skup, a mnogi mogu prihvatiti i adresu iz odgovora za autentikaciju. Koji će pobijediti ovisi o platformi, protokolu i konfiguraciji usluge, zato pročitajte pravilo prednosti za točnu verziju koja se koristi. Gdje lokalni skup ima prednost, atribut je samo ukras i klijent ipak završi na slučajnoj adresi. Zapišite odluku, uključujući mora li vraćena vrijednost biti unutar raspona skupa ili smije pasti izvan njega.

RFC 2865 definira Framed-IP-Address kao adresu koju treba konfigurirati za korisnika i ne govori ništa o spremnosti pojedinog pristupnika da je poštuje. Dokumentacija proizvođača mjerodavna je za prednost, a ne definicija atributa.

Pošaljite probni zahtjev i pročitajte odgovor

Najprije isprobajte poslužitelj zasebno, da se atribut koji nedostaje ne zamijeni za problem pristupnika. radtest šalje jedan Access-Request i ispisuje atribute koji se vraćaju.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Potražite Framed-IP-Address u Access-Accept i potvrdite da je vrijednost namjeravana, a ne adresa skupa iz pričuvnog pravila. Kad atribut nedostaje, korisnički zapis ili autorizacijska politika ne odgovaraju, a podešavanje pristupnika ne može pružiti ono što poslužitelj nikad nije poslao. Ponovite zahtjev dok poslužitelj radi u načinu otklanjanja pogrešaka ako je odgovor teško pratiti do određenog pravila. Držite zajedničku tajnu izvan povijesti ljuske i zahtjeva, jer gornja zamjenska oznaka nije vjerodajnica.

Potvrdite da je pristupnik poštovao vrijednost

Točan odgovor samo je pola ugovora. Adresa koja se pojavi na sučelju tunela opažanje je koje je važno, i čita se na klijentu umjesto da se zaključuje iz konfiguracije pristupnika.

ip -4 addr show tun0

Usporedite tu adresu s atributom iz Access-Accept. Neusklađenost znači da je pristupnik zanemario ili prepisao vrijednost, što ponovno otvara pitanje prednosti iz prvog odjeljka. Povežite se još jednom, jer rezervacija koja radi samo na prvom pokušaju obično upućuje na zastarjelu sesiju ili najam koji još drži prethodna veza. Zabilježite verziju pristupnika i protokol uz rezultat, da sljedeća osoba može procijeniti je li ponašanje specifično za verziju.

Planirajte istovremenost i opoziv

Jedno korisničko ime na dva uređaja ne može odgovarati jednoj adresi osim ako pristupnik razlikuje sesije po nečemu osim prijave. Odlučite pripada li mapiranje osobi, registriranom uređaju ili identitetu certifikata, i tu odluku izričito navedite u spremištu politika. Isprobajte drugog istovremenog klijenta i usporedite obje dodijeljene adrese, jer se sudar ovdje kasnije vraća kao pogreška usmjeravanja. Ista briga pripada planu opoziva, jer adresa koja se ponovno dodijeli dok stare vatrozidne upute još upućuju na nju postaje bug autorizacije.

Stabilno adresiranje pojednostavljuje pravila i zapisnike, ali nikad ne dokazuje tko je stvorio paket. Autentikacija i autorizacija odredišta i dalje su važne kad se ta adresa kasnije preseli na drugu sesiju.