RRAS DHCP: nova adresa ili samo opcije konfiguracije?

Čitati DHCPACK u snimci kao dokaz da je VPN klijent dobio adresu od DHCP-a pogreška je. Obično to dokazuje samo da je na neku DHCP poruku odgovoreno. Windows RRAS može dijeliti adrese sesije iz vlastitog statičkog skupa dok DHCP još uvijek isporučuje opcije povezanom klijentu. Vrsta zahtjeva kazuje koja se od dvije zadaće odvijala.

Dvije zadaće koje dijele vrstu poruke

DHCP obavlja dvije odvojene stvari i one dijele vrste poruka. Jedna je dodjela adrese i najma. Druga je dostava konfiguracije hostu koji već ima adresu, što RFC 2131 naziva DHCPINFORM. Odgovor u drugom slučaju nosi opcije i nema vremena najma.

Dakle ACK je dokaz odgovora, a ne dokaz dodjele. Poruka koja mu je prethodila odlučuje koje je pitanje postavljeno. Prvo pročitajte redak zahtjeva i ostatak traga obično se sam po sebi objašnjava.

Odakle RRAS dobiva adresu

RRAS posjeduje odluku o VPN adresi kroz svoj konfigurirani način dodjele IPv4: ili DHCP poslužitelj ili statički skup adresa. Kad je skup statički, skup je dodjeljivač, a rezervacija na zasebnom DHCP poslužitelju nema što reći u toj sesiji. Dva mehanizma mogu supostojati na istoj mreži bez toga da jedan kontrolira drugi.

Get-Command -Module RemoteAccess *IPAddress*

Utvrdite način dodjele koji je na snazi prije otklanjanja pogreške u adresi. Ako je to statički skup, DHCP raspon je pogrešno mjesto za traženje. Gornja naredba navodi cmdlet naredbe dostupne u verziji koju pokrećete, a to je dovoljno da pronađete postavku.

Što korisnička klasa može dokazati, a što ne

DHCP korisnička klasa je niz znakova koji klijent šalje, a ne autentificirano članstvo u grupi. Čak i kad klijent pošalje jednu i poslužitelj na nju primijeni pravilo, oznaka dokazuje samo da je niz stigao. RFC 3004 jasno kaže da ta opcija ne potvrđuje pravo na klasu.

Ne očekujte da će se VPN korisničko ime, identifikator sigurnosne grupe ili Ethernet adresa prijenosnika pojaviti u tom zahtjevu u upotrebljivu obliku. To su činjenice provjere identiteta i imenika, a DHCP zahtjev ne nosi ni jedno ni drugo. Ako je uvjet razlikovati ovlaštene osobe, provedite ga u VPN pravilu gdje identitet doista postoji. Upravo to razdvajanje drži dva sustava neovisnima.

Usporedite dokaze, a ne ACK

Izgradite lanac dokaza umjesto da čitate jedan paket. Zabilježite adresu koju je sesija dobila, vrstu i polja zahtjeva, opcije koje je poslužitelj vratio i potom stvarnu konfiguraciju klijenta. Svaka karika odgovara na drugo pitanje, a karika koja nedostaje mjesto je gdje obično leži pravi kvar.

Get-DhcpServerv4OptionValue -ScopeId 10.90.0.0

Ako je adresa došla iz RRAS skupa, DHCP rezervacija ne objašnjava ništa. Ako su opcije stigle, ali ih je klijent zanemario, poslužitelj je obavio svoj posao i sljedeća je postaja konfiguracija klijenta. Usporedite ta dva ishoda izričito i ACK prestaje biti dvosmislen. Dva traga, po jedan za svaki način dodjele, rješavaju raspravu brže od bilo koje dokumentacije.