Melyik címet regisztrálja NPS RADIUS-klientség?

A Windows NPS-nek hitelesítést átadó VPN-átjárónak egyetlen objektumra van szüksége az NPS oldalán, mielőtt bármely felhasználói szabályzat futhatna: egy RADIUS-ügyfélbejegyzésre az átjáróhoz. A legtöbb sikertelen kísérlet a rossz címet regisztrálja, mert a fontos cím az, amelyet az átjáró a háttérútvonalán használ, nem az a hosztnév, amelyet a munkatársak a VPN-alkalmazásukba írnak. Ha ez az érték hibás, az NPS csendben eldobja a kérést, ami az ügyfél oldaláról rossz jelszónak látszik. Három feltétel dönti el, melyik cím tartozik a mezőhöz, ezért tisztázza őket a konzol megnyitása előtt.

Az átjárót regisztrálja, ne a laptopokat vagy a készletet

A RADIUS-ügyfélobjektum azt a hálózati hozzáférési eszközt képviseli, amely a hitelesítési kéréseket küldi. Ez a VPN-átjáró, nem minden laptop, amelyen az ügyfél fut, és nem az alagutakban kiosztott címek tartománya.

Ezek az alagútcímek soha nem jelennek meg a RADIUS-kérés forrásaként, mert a kérés az átjáró saját hálózati útvonalán halad. Egy ügyfélkészlet-bejegyzés regisztrálása olyan szabályzatot hoz létre, amely soha nem tud egyezni, miközben a valódi kérés olyan címről érkezik, amelyről az NPS soha nem hallott. Ugyanez a zűrzavar viszi rá az embereket, hogy minden munkatárs otthoni IP-címét hozzáadják, ami egyszerre fenntarthatatlan és hibás.

Három feltétel dönti el a beírt címet

Először keresse meg azt a forráscímet, amelyet az átjáró valóban használ az NPS felé. A több interfésszel rendelkező átjáró gyakran felügyeleti vagy háttér-interfészről küld, nem a nyilvános VPN-figyelőjéről. Másodszor ellenőrizze, van-e NAT a kettő között: ha a kérés lefordul, az NPS a lefordított címet látja, és ezt az értéket kell regisztrálni. Harmadszor, ha két átjáró osztozik a szerepen, minden kérésforrásnak saját ügyfélbejegyzés kell, mert egyetlen objektum egyetlen címmel csak az egyiket fedi le.

A kétvégű rekord rendben tartja a párt. Az alábbi táblázat szemléltetésként privát címeket használ, ezért helyettesítse azokat, amelyeket az útvonala valóban használ.

Erősítse meg a forrást ahelyett, hogy kitalálná. Figyelje az NPS vagy a tűzfal naplóját egyetlen kísérlet alatt, vagy rögzítsen az NPS-hoszten a sudo tcpdump -ni any udp port 1812 paranccsal. Az abban a rögzítésben szereplő cím az egyetlen védhető válasz az ügyfélbejegyzéshez. Ha az átjárónak több lehetséges forrása van, mindegyiket a saját barátságos neve alatt regisztrálja.

A közös titok az átjáró és az NPS közötti érték

A közös titok hitelesíti az eszközkapcsolatot. Ez nem felhasználói jelszó, és soha nem osztják meg a munkatársakkal, és nem ágyazzák be ügyfélprofilokba.

Válasszon egy értéket, írja be mindkét helyre, és tárolja ott, ahol az átjáró konfigurációs mentése található. Az eltérés olyan kérést hoz létre, amelyet az NPS hasznos hiba nélkül dob el, és ez az átjáró naplójában nem különböztethető meg egy elérhetetlen szervertől. Forgassa karbantartási ablakban, és mindkét végét ugyanabban a változtatásban frissítse.

Erősítse meg egy engedélyezett kéréssel

Használjon ellenőrzött fiókot, és korreláljon egyetlen kísérletet mindkét oldalon. Az átjárónál erősítse meg, hogy a kérés a szándékolt szerver felé indult; az NPS-nél, hogy a regisztrált ügyféltől érkezett, és megfelelt a várt kapcsolatkérési szabályzatnak. Az időtúllépés és az elutasítás különböző dolgokat jelent, és ha mindkettőt hitelesítőadat-problémaként kezeljük, a következő óra elvész. Ezután próbáljon ki egy érvényes, de nem jogosult fiókot és egy rossz jelszót, mert a mindent elfogadó szabályzat az első próbát is átmegy.

Végül ellenőrizze, mit tesz az átjáró a visszaadott engedélyezéssel. A RADIUS-ügyfél regisztrálása csak részvételt engedélyez az eszköznek; nem ad hozzáférést a LAN-hoz minden létrejövő munkamenetnek.

Tartsa korlátozottan a diagnosztikai kimenetet: ne legyen benne közös titok, felhasználói jelszó vagy teljes csomagterhelés egy támogatási jegyben. Ha a tervezés megköveteli, hogy az NPS-kiszolgáló címtárattribútumokat olvasson, az az engedély az ügyfélregisztrációtól különálló adminisztratív feladat, és hiányában másképp hibázik.