RADIUS Framed-IP-Address a stabil VPN-kliens címhez

A RADIUS válaszolhat egy adott felhasználóhoz tartozó címmel; hogy az alagút valóban megkapja-e, az átjárótól függ. Legtöbb stabilcím-terv éppen a visszaadott és az alkalmazott érték közötti résben bukik el. Egy attribútum a tesztválaszban azt bizonyítja, hogy a kiszolgáló el tudja küldeni, nem azt, hogy a távoli hozzáférési szolgáltatás alkalmazza. Az alábbi sorrend mindkét felet ellenőrzi, mielőtt a cím bekerül a tűzfal szabályaiba.

Döntse el, melyik réteg birtokolja a címet

A távoli hozzáférési átjáróknak általában van helyi címkészletük, és sokuk elfogad címet a hitelesítési válaszból is. Az dönti el, melyik nyer, hogy mit támogat a platform, a protokoll és a szolgáltatás beállítása, ezért olvassa el az elsőbbségi szabályt a használt pontos kiadáshoz. Ahol a helyi címkészlet élvez elsőbbséget, az attribútum csak dísz, és az ügyfél mégis véletlenszerű címre kerül. Írja le a döntést, beleértve azt is, hogy a visszaadott értéknek a címkészlet tartományán belül kell-e lennie, vagy kívül eshet.

Az RFC 2865 a Framed-IP-Address attribútumot a felhasználóhoz beállítandó címként határozza meg, és semmit sem mond arról, hogy egy adott átjáró hajlandó-e tiszteletben tartani. Az elsőbbségről a gyártói dokumentáció a mérvadó, nem az attribútum meghatározása.

Küldjön próbakérést, és olvassa el a választ

Először külön tesztelje a kiszolgálót, hogy a hiányzó attribútumot ne nézzék átjáróproblémának. radtest egy Access-Requestet küld, és kiírja a visszatérő attribútumokat.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Keresse a Framed-IP-Address bejegyzést az Access-Acceptben, és erősítse meg, hogy az érték a szándékolt, nem pedig egy címkészlet-cím valamely tartalékszabályból. Ha az attribútum hiányzik, a felhasználói bejegyzés vagy az engedélyezési szabályzat nem egyezik, és az átjáró hangolása nem tudja pótolni azt, amit a kiszolgáló soha nem küldött el. Ismételje meg a kérést, miközben a kiszolgáló hibakereső módban fut, ha a választ nehéz egy adott szabályhoz kötni. Tartsa a megosztott titkot a héjtörténeten és a jegyeken kívül, mert a fenti helyőrző nem hitelesítő adat.

Erősítse meg, hogy az átjáró tiszteletben tartotta az értéket

A helyes válasz csak a szerződés fele. Az alagút interfészén megjelenő cím az a megfigyelés, amely számít, és azt az ügyfélen olvassák le, nem az átjáró beállításából következtetik ki.

ip -4 addr show tun0

Hasonlítsa össze azt a címet az Access-Accept attribútumával. Az eltérés azt jelenti, hogy az átjáró figyelmen kívül hagyta vagy átírta az értéket, ami újra megnyitja az első szakasz elsőbbségi kérdését. Csatlakozzon még egyszer, mert az a foglalás, amely csak az első próbálkozáskor működik, általában elavult munkamenetre vagy az előző kapcsolat által még tartott bérletre utal. Jegyezze fel az átjáró kiadását és a protokollt az eredmény mellé, hogy a következő ember lássa, a viselkedés verziófüggő-e.

Tervezze meg az egyidejűséget és a visszavonást

Egy felhasználónév két eszközön nem képezhető le egyetlen címre, hacsak az átjáró nem a bejelentkezésen túl valami mással különbözteti meg a munkameneteket. Döntse el, hogy a leképezés egy személyhez, egy regisztrált eszközhöz vagy egy tanúsítványidentitáshoz tartozik-e, és tegye ezt a választást egyértelművé a házirend-tárban. Teszteljen egy második egyidejű ügyfelet, és hasonlítsa össze a két kiosztott címet, mert az itteni ütközés később útválasztási hibaként jelenik meg újra. Ugyanez a gondosság tartozik a visszavonási tervhez, mert a cím, amelyet újra kiosztanak, miközben a régi tűzfalszabályok még hivatkoznak rá, engedélyezési hibává válik.

A stabil címzés egyszerűsíti a szabályokat és a naplókat, de soha nem bizonyítja, ki állította elő a csomagot. A hitelesítés és a cél engedélyezése továbbra is számít, amikor az a cím később egy másik munkamenetre kerül.