Ֆիքսված VPN IP․ Framed-IP-Address RADIUS-ում, թե՞ պահոցում ամրագրում

Երեք տեղ կարող են պահել ֆիքսված ներքին հասցե VPN հաճախորդի համար, և դրանցից միայն մեկը պետք է տիրապետի այն։ RADIUS-ը կարող է հասցեն վերադարձնել Access-Accept-ում, դարպասը կարող է հաշվի համար պահել ստատիկ քարտեզագրում, և հաճախորդի ադապտերը կարելի է ձեռքով սահմանել։ Առաջին երկուսը քաղաքականություն են, իսկ երրորդը տեղական ենթադրություն է, որը դարպասն ազատ է անտեսել կամ վերագրել։ Առաջին երկուսի միջև ընտրությունը իրական որոշումն է, և այն կախված է նրանից, թե ցանցային մուտքի սերվերն ինչ է իրականում իրականացնում։

Երեք տեղ, որտեղ կարող է լինել ֆիքսված հասցե

RADIUS-ը տիրապետում է հասցեին, երբ պատասխանը կրում է Framed-IP-Address, և դարպասը կիրառում է այդ արժեքը նստաշրջանի վրա։ Դարպասը տիրապետում է դրան, երբ ադմինիստրատորը հաշիվը քարտեզագրում է պահոցի ներսում գտնվող ստատիկ հասցեի։ Հաճախորդը ոչնչի չի տիրապետում, նույնիսկ երբ նրա ադապտերը ցույց է տալիս ձեռքով սահմանված հասցե, որովհետև սերվերը ներքին հասցեն հատկացնում է բանակցությունների ընթացքում, և տեղական կարգավորումը նշանակություն ունի միայն այն ժամանակ, երբ սերվերը ոչինչ չի ուղարկում։ Երեքն էլ նույն տեսքն ունեն աշխատող միացման դեպքում, դրա համար էլ հակասությունները ուշ են ի հայտ գալիս։ Տարբերությունը երևում է վերամիացման ժամանակ, երկրորդ սարքում և քաղաքականության փոփոխությունից հետո։

Երկու տեր՝ սա այն կարգավորումն է, որը կոտրվում է։ RADIUS-ի պատասխանը հատկացնում է 172.28.4.77, մինչ դարպասը պահում է ստատիկ քարտեզագրում 172.28.4.90-ի համար, և ստացվում է այն արժեքը, որը մատակարարի կոդը ստուգում է առաջինը, իսկ պարտվողը դեն է նետվում առանց մատյանային տողի։ Նույն հաշիվը երկրորդ սարքում այնուհետև ստանում է կրկնօրինակ հասցե, և ախտանիշը կարդացվում է որպես երթուղավորման խափանում, այլ ոչ թե հատկացման հակասություն։ Որոշեք տիրոջը, նախքան երկրորդ մեխանիզմը ավելացնելը։

Հաճախորդի կողմի տարբերակը արժե անվանել միայն այն բացառելու համար։ Ձեռքով ադապտերի հասցեն նախընտրություն է, որը օպերացիոն համակարգը կարող է ներկայացնել, ոչ ամրագրում, և այն չի կարող խանգարել մեկ այլ նստաշրջանի ստանալ նույն հասցեն։

Ինչ կարող է խոստանալ RADIUS-ի պատասխանը և ինչ ոչ

RFC 2865սահմանում է Framed-IP-Address-ը որպես IPv4 հասցե, որը պետք է կարգավորվի օգտատիրոջ համար, և այն պատկանում է Access-Accept-ին։ Նույն ատրիբուտը Access-Request-ում ընդամենը ակնարկ է, որը սերվերը կարող է անտեսել, և դա կարևոր է, երբ հաճախորդը կամ դարպասը առաջարկում է նախընտրելի հասցե։ Ոչինչ արձանագրության մեջ չի պարտադրում դարպասին հարգել պատասխանը, որովհետև ցանցային մուտքի սերվերն այն բաղադրիչն է, որը կիրառում է այն նստաշրջանի վրա։

Աջակցությունը ապրանքի հարց է, ոչ արձանագրության։ Որոշ դարպասներ շրջանակված հասցեները կիրառում են լռելյայն, մյուսներին անհրաժեշտ է խմբի մակարդակի անջատիչ միացված լինի, որպեսզի դա անեն, իսկ ևս մյուսները ընդունում են ատրիբուտը և երբեք չեն օգտագործում այն հեռավոր մուտքի նստաշրջանների համար։ Այդ վերջին դեպքը վտանգավորն է, որովհետև հաշվառման գրառումը կարող է ցույց տալ պատասխանը, մինչ հաճախորդը ստանում է պահոցի հասցե։ Հաստատեք վարքը ձեր գործարկած ճշգրիտ դարպասի մոդելի և որոնվածի վրա, ոչ թե քույր ապրանքի փաստաթղթերում։

Այն պատասխանը, որը դարպասը անտեսում է, ուղիղ նույն տեսքն ունի, ինչ երբեք չուղարկված պատասխանը։ Access-Accept-ը և նստաշրջանի հասցեն կողք կողքի կարդալը երկու դեպքերն իրարից տարանջատելու միակ միջոցն է։

Ամրագրեք հասցեն այն պահոցի ներսում, որը դուք արդեն երթուղավորում եք

Ընտրեք ֆիքսված հասցեն այն պահոցի ենթացանցից, որը դարպասն արդեն երթուղավորում է, և որին firewall-ն արդեն վստահում է։ Այդ տիրույթից դուրս հասցեն քաղաքականության փոփոխությունը վերածում է երթուղավորման նախագծի, և VPN-ը կբարձրանա, մինչ դրա հետևում ոչինչ չի կարողանա պատասխանել։ Եթե գոյություն ունեն հասցեով պայմանավորված մուտքի կանոններ, նույն փոփոխության մեջ ավելացրեք ֆիքսված հասցեն դրանց։

Որոշեք, թե ինչ պետք է անի երկրորդ միաժամանակյա նստաշրջանը։ Մեկ հասցե երկու անգամ հատկացնելը սարքերի կառավարում չէ, և առաջացած բախումը երևում է որպես ընդհատվող միացում երկու նստաշրջանների համար։ Կամ տրամադրեք առանձին նույնականություններ յուրաքանչյուր սարքի համար, կամ առանձին հատկացումներ, կամ պարտադրեք միաժամանակությունը աջակցվող ստուգմամբ, ինչպիսին է Simultaneous-Use, փոխարենը հույս դնելու, որ հաճախորդը երբեք չի վերամիանա հին նստաշրջանի ավարտից առաջ։

Վերադարձի երթուղիները նույն ուշադրությանն արժանի են, ինչ հատկացումը։ Դարպասին անհրաժեշտ է երթուղի դեպի պահոցը, ներքին երթուղիչներին՝ երթուղի վերադարձ դարպաս, և ֆիքսված հասցեն ժառանգում է երկուսն էլ։ Մեկ հաճախորդի աշխատանքը, մինչ մնացած բոլորը ձախողվում են, սովորաբար նշանակում է, որ պահոցի երթուղին գոյություն ունի, բայց ամրագրված հասցեի host-երթուղին՝ ոչ։

Փորձարկեք պատասխանը, նախքան ամրագրմանը վստահելը

Փորձարկեք AAA կողմը և նստաշրջանի կողմը առանձին, որովհետև նրանք ձախողվում են տարբեր պատճառներով։ Տեղական radtest ցույց է տալիս, թե ինչ է վերադարձնում սերվերը հաշվի համար՝ առանց դարպասը ներգրավելու, իսկ օգտատերերի ֆայլի գրառումը ցույց է տալիս, թե ինչի հետ պետք է համապատասխանի սերվերը։ Այնուհետև վերամիացրեք հաճախորդին և համեմատեք ստացած հասցեն պատասխանի ատրիբուտի հետ։

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Առանց ատրիբուտի Access-Accept-ը նշանակում է, որ սերվերը չի համապատասխանել գրառմանը կամ ատրիբուտը չի կիրառվել այդ օգտատիրոջ վրա։ Ատրիբուտով Access-Accept-ը և դեռ պահոցի հասցե ստացող հաճախորդը նշանակում է, որ դարպասը անտեսել է այն։ Access-Reject-ը ձեզ հետ է ուղարկում հավատարմագրերին կամ խմբի քաղաքականությանը, և այդ արդյունքներից ոչ մեկը չպետք է վրիպազերծվի հաճախորդի ադապտերը խմբագրելով։

Կրկնեք ստուգումը վերամիացումից հետո և մեկ այլ սարքից երկրորդ մուտքից հետո։ Ամրագրումը, որը դիմանում է միայն առաջին նստաշրջանին, պահոցի հակասություն է, որը սպասում է տեղի ունենալուն, և ավելի էժան է գտնել այն հիմա, քան աուդիտի ընթացքում։

Ընտրեք մեկ տեր և գրեք այն

Եթե դարպասը հուսալիորեն կիրառում է շրջանակված հասցեները, թող RADIUS-ը տիրապետի հատկացմանը և հեռացրեք նույն հաշվի ցանկացած ստատիկ քարտեզագրում։ Եթե ոչ, թող դարպասը տիրապետի դրան և հեռացրեք ատրիբուտը պատասխանից, որպեսզի երկու աղբյուրները չկարողանան հակասել։ Երկուսն էլ պահելը, քանի որ յուրաքանչյուրը գրեթե աշխատում է, երաշխավորում է ապագա նստաշրջան սխալ հասցեով և առանց ակնհայտ պատճառի։

Գրեք ընտրված տիրոջը, ամրագրված հասցեն և պահոցը, որտեղից այն եկել է, հաշվի գրառման մեջ։ Հաջորդ մարդը, ով սարք կավելացնի, կկարողանա տեսնել՝ հասցեն AAA քաղաքականություն է, թե դարպասի քարտեզագրում, նախքան դրանցից որևէ մեկը փոխելը։