Rögzített VPN IP: RADIUS Framed-IP-Address vagy pool-foglalás

Három hely tarthat rögzített belső címet egy VPN-kliens számára, és közülük csak egynek kellene birtokolnia. A RADIUS visszaadhatja a címet egy Access-Acceptben, az átjáró tarthat statikus leképezést a fiókhoz, és a kliens adaptere kézzel is beállítható. Az első kettő szabályzat, a harmadik pedig helyi találgatás, amelyet az átjáró szabadon figyelmen kívül hagyhat vagy felülírhat. Az első kettő közötti választás az igazi döntés, és attól függ, mit valósít meg ténylegesen a hálózati hozzáférési kiszolgáló.

Három hely, ahol rögzített cím élhet

A RADIUS birtokolja a címet, amikor a válasz Framed-IP-Address-t hordoz, és az átjáró ezt az értéket alkalmazza a munkamenetre. Az átjáró akkor birtokolja, amikor egy rendszergazda a fiókot a poolon belüli statikus címhez rendeli. A kliens semmit sem birtokol, még akkor sem, ha az adaptere kézi címet mutat, mert a kiszolgáló a tárgyalás során osztja ki a belső címet, és a helyi beállítás csak akkor számít, ha a kiszolgáló semmit sem küld. Mindhárom ugyanúgy néz ki egy működő kapcsolaton, ezért az ütközések későn kerülnek felszínre. A különbség újracsatlakozáskor, egy második eszközön és szabályzatváltozás után látszik.

Két tulajdonos az a konfiguráció, amely eltörik. Ha egy RADIUS-válasz 172.28.4.77-et oszt ki, miközben az átjáró statikus leképezést tart 172.28.4.90-hez, akkor az az érték érvényesül, amelyiket a gyártó kódja először ellenőriz, a vesztes pedig naplósor nélkül eldobódik. Ugyanaz a fiók egy második eszközön ezután ismétlődő címet kap, és a tünet inkább útválasztási hibának tűnik, mint kiosztási ütközésnek. Döntse el a tulajdonost, mielőtt hozzáadja a második mechanizmust.

A kliensoldali lehetőséget csak azért érdemes megnevezni, hogy ki lehessen zárni. A kézi adaptercím olyan preferencia, amelyet az operációs rendszer megjeleníthet, nem foglalás, és nem akadályozhatja meg, hogy egy másik munkamenet ugyanazt a címet kapja.

Mit ígérhet a RADIUS-válasz és mit nem

RFC 2865a Framed-IP-Address-t a felhasználó számára beállítandó IPv4-címként határozza meg, és ez az Access-Acceptbe tartozik. Ugyanez az attribútum az Access-Requestben csak egy jelzés, amelyet a kiszolgáló figyelmen kívül hagyhat, és ez akkor számít, amikor a kliens vagy az átjáró előnyben részesített címet ajánl. A protokollban semmi sem kényszeríti az átjárót a válasz tiszteletben tartására, mert a hálózati hozzáférési kiszolgáló az a komponens, amely alkalmazza azt a munkamenetre.

A támogatás termékkérdés, nem protokollkérdés. Egyes átjárók alapértelmezés szerint alkalmazzák a keretezett címeket, másoknak csoportszintű kapcsolót kell bekapcsolniuk ehhez, megint mások elfogadják az attribútumot, és soha nem használják távelérési munkamenetekhez. Az utóbbi eset a veszélyes, mert az elszámolási rekord mutathatja a választ, miközben a kliens pool-címet kap. Erősítse meg a viselkedést a pontosan futtatott átjárómodellen és firmware-en, nem egy testvértermék dokumentációjában.

A válasz, amelyet az átjáró figyelmen kívül hagy, pontosan úgy néz ki, mint egy soha el nem küldött válasz. Az Access-Accept és a munkamenet címének egymás melletti olvasása az egyetlen módja a két eset szétválasztásának.

Foglalja le a címet azon a poolon belül, amelyet már útválaszt

Válassza a rögzített címet abból a pool-alhálózatból, amelyet az átjáró már útválaszt, és amelyben a tűzfal már megbízik. Az ezen a tartományon kívüli cím szabályzatváltozást útválasztási projektté tesz, és a VPN feljön, miközben mögötte semmi sem tud válaszolni. Ha léteznek címenkénti hozzáférési szabályok, ugyanabban a változtatásban adja hozzá a rögzített címet.

Döntse el, mit tegyen egy második egyidejű munkamenet. Egy cím kétszeri kiosztása nem eszközkezelés, és az ebből eredő ütközés mindkét munkamenetnél szakaszos kapcsolatként jelenik meg. Vagy adjon külön identitásokat eszközönként, vagy külön kiosztásokat, vagy kényszerítse ki az egyidejűséget támogatott ellenőrzéssel, például Simultaneous-Use, ahelyett hogy abban bízna, hogy a kliens soha nem csatlakozik újra a régi munkamenet lejárta előtt.

A visszatérési útvonalak ugyanannyi figyelmet érdemelnek, mint a kiosztás. Az átjárónak útvonalra van szüksége a poolhoz, a belső útválasztóknak visszaútra az átjáróhoz, és a rögzített cím mindkettőt örökli. Egyetlen kliens működése, miközben az összes többi meghiúsul, általában azt jelenti, hogy a pool útvonala létezik, de a lefoglalt cím gazdagép-útvonala nem.

Tesztelje a választ, mielőtt megbízik a foglalásban

Tesztelje külön az AAA-oldalt és a munkamenet-oldalt, mert különböző okokból hiúsulnak meg. Egy helyi radtest megmutatja, mit ad vissza a kiszolgáló a fiókhoz az átjáró bevonása nélkül, a felhasználói fájl bejegyzése pedig megmutatja, mivel kell a kiszolgálónak egyeznie. Ezután csatlakoztassa újra a klienst, és hasonlítsa össze a kapott címet a válasz attribútumával.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Az attribútum nélküli Access-Accept azt jelenti, hogy a kiszolgáló nem találta a bejegyzést, vagy az attribútumot nem alkalmazta arra a felhasználóra. Az attribútummal rendelkező Access-Accept és egy továbbra is pool-címet kapó kliens azt jelenti, hogy az átjáró figyelmen kívül hagyta. Az Access-Reject visszaküldi a hitelesítő adatokhoz vagy a csoportszabályzathoz, és ezeket az eredményeket nem a kliens adapterének szerkesztésével kell hibakeresni.

Ismételje meg az ellenőrzést újracsatlakozás után és egy másik eszközről történő második bejelentkezés után. Az a foglalás, amely csak az első munkamenetre tart, pool-ütközés, amely megtörténni készül, és olcsóbb most megtalálni, mint egy audit során.

Válasszon egy tulajdonost, és írja le

Ha az átjáró megbízhatóan alkalmazza a keretezett címeket, hagyja, hogy a RADIUS birtokolja a kiosztást, és távolítson el minden statikus leképezést ugyanahhoz a fiókhoz. Ha nem, hagyja, hogy az átjáró birtokolja, és távolítsa el az attribútumot a válaszból, hogy a két forrás ne tudjon ellentmondani. Mindkettő megtartása, mert mindegyik majdnem működik, garantál egy jövőbeli munkamenetet rossz címmel és nyilvánvaló ok nélkül.

Írja be a választott tulajdonost, a lefoglalt címet és a poolt, ahonnan származik, a fiók rekordjába. A következő ember, aki eszközt ad hozzá, láthatja, hogy a cím AAA-szabályzat vagy átjáró-leképezés-e, mielőtt bármelyiket módosítaná.