Ինչ հասցե պետք է գրանցել որպես NPS RADIUS հաճախորդ
Գրանցեք դարպասի իրական backend աղբյուրը, ոչ հանրային hostname-ը կամ հաճախորդների լողավազանը։ Համապատասխանեցրեք ընդհանուր գաղտնիքը, ապա հաստատեք մեկ վերահսկվող հարցումով։
Windows NPS-ին նույնականացումը հանձնող VPN դարպասին անհրաժեշտ է մեկ օբյեկտ NPS-ի կողմում, նախքան որևէ օգտվողի քաղաքականություն կաշխատի՝ RADIUS հաճախորդի գրառում դարպասի համար։ Փորձերի մեծ մասը գրանցում է սխալ հասցեն, քանի որ կարևորը այն հասցեն է, որը դարպասն օգտագործում է իր backend ուղու վրա, ոչ այն hostname-ը, որը աշխատակիցները մուտքագրում են իրենց VPN հավելվածում։ Եթե այդ արժեքը սխալ լինի, NPS-ը լուռ դեն կշպրտի հարցումը, ինչը հաճախորդի կողմից սխալ գաղտնաբառի տեսք կունենա։ Երեք պայման է որոշում, թե որ հասցեն է պատկանում դաշտին, ուստի դրանք պարզեք վահանակը բացելուց առաջ։
Գրանցեք դարպասը, ոչ նոութբուքերը կամ լողավազանը
RADIUS հաճախորդի օբյեկտը ներկայացնում է ցանցային մուտքի սարքը, որն ուղարկում է նույնականացման հարցումներ։ Դա VPN դարպասն է, ոչ յուրաքանչյուր նոութբուք, որը վազեցնում է հաճախորդը, և ոչ թունելների ներսում բաշխվող հասցեների շարքը։
Այդ թունելի հասցեները երբեք չեն հայտնվում որպես RADIUS հարցման աղբյուր, որովհետև հարցումն անցնում է դարպասի սեփական ցանցային ուղով։ Հաճախորդների լողավազանի գրառում գրանցելը ստեղծում է քաղաքականություն, որը երբեք չի կարող համապատասխանել, մինչդեռ իրական հարցումը գալիս է մի հասցեից, որի մասին NPS-ը երբեք չի լսել։ Նույն շփոթությունը մարդկանց տանում է դեպի յուրաքանչյուր աշխատակցի տնային IP-ի ավելացումը, ինչը և՛ անկառավարելի է, և՛ սխալ։
Երեք պայման է որոշում ձեր մուտքագրած հասցեն
Նախ, գտեք այն աղբյուր հասցեն, որն իրականում օգտագործում է դարպասը NPS-ի ուղղությամբ։ Բազմաինտերֆեյս դարպասը հաճախ ուղարկում է կառավարման կամ backend ինտերֆեյսից, ոչ թե իր հանրային VPN լսողից։ Երկրորդ, ստուգեք, արդյոք նրանց միջև NAT կա՝ եթե հարցումը թարգմանվում է, NPS-ը տեսնում է թարգմանված հասցեն, և դա է գրանցվելիք արժեքը։ Երրորդ, եթե երկու դարպասներ կիսում են դերը, յուրաքանչյուր հարցման աղբյուր իր սեփական հաճախորդի գրառումն է պահանջում, քանի որ մեկ հասցեով մեկ օբյեկտը ծածկում է նրանցից միայն մեկը։
Երկու ծայրով գրառումը զույգը պահում է ուղիղ։ Ստորև բերված աղյուսակը որպես օրինակ օգտագործում է մասնավոր հասցեներ, ուստի փոխարինեք դրանք նրանցով, որոնք ձեր ուղին իրականում օգտագործում է։
| At NPS | At the VPN gateway |
|---|---|
| RADIUS client address 10.20.0.10 | Authentication server 10.20.0.20 |
| Shared secret, agreed value | The same secret, same value |
| UDP 1812 permitted from 10.20.0.10 | UDP 1812 permitted toward 10.20.0.20 |
Հաստատեք աղբյուրը՝ գուշակելու փոխարեն։ Մեկ փորձի ընթացքում դիտեք NPS-ի կամ firewall-ի մատյանը, կամ գրավում կատարեք NPS հոսթում sudo tcpdump -ni any udp port 1812-ով։ Այդ գրավման մեջ եղած հասցեն հաճախորդի գրառման միակ պաշտպանելի պատասխանն է։ Եթե դարպասն ունի մի քանի հնարավոր աղբյուր, գրանցեք յուրաքանչյուրը իր բարեկամական անվան տակ։
Ընդհանուր գաղտնիքը դարպասի և NPS-ի միջև արժեք է
Ընդհանուր գաղտնիքը հաստատում է սարքերի հարաբերությունը։ Այն օգտվողի գաղտնաբառ չէ և երբեք չի բաշխվում աշխատակիցներին կամ չի ներկառուցվում հաճախորդի պրոֆիլներում։
Ընտրեք մեկ արժեք, մուտքագրեք այն երկու տեղում և պահպանեք այնտեղ, որտեղ ապրում է դարպասի կարգաբերման պահուստը։ Անհամապատասխանությունը ստեղծում է հարցում, որը NPS-ը դեն է նետում առանց օգտակար սխալի, և դա դարպասի մատյանում չի տարբերվում անհասանելի սերվերից։ Պտտեք այն սպասարկման պատուհանում և թարմացրեք երկու ծայրը նույն փոփոխությամբ։
Հաստատեք մեկ թույլատրված հարցումով
Օգտագործեք վերահսկվող հաշիվ և համադրեք մեկ փորձ երկու կողմերում։ Դարպասում հաստատեք, որ հարցումը գնաց դեպի նախատեսված սերվերը, NPS-ում՝ որ այն եկավ գրանցված հաճախորդից և համապատասխանեց սպասվող կապի հարցման քաղաքականությանը։ Ժամկետի սպառումը և մերժումը տարբեր բաներ են նշանակում, և երկուսն էլ որպես հավատարմագրերի խնդիր դիտարկելը կորցնում է հաջորդ ժամը։ Այնուհետև փորձարկեք վավեր, բայց ոչ իրավասու հաշիվ և սխալ գաղտնաբառ, քանի որ ամեն ինչ ընդունող քաղաքականությունը անցնում է նաև առաջին փորձը։
Վերջապես, ստուգեք, թե դարպասն ինչ է անում վերադարձված լիազորության հետ։ RADIUS հաճախորդ գրանցելը միայն թույլ է տալիս սարքին մասնակցել, այն չի տալիս յուրաքանչյուր ստեղծված սեսիային մուտք դեպի LAN։
Սահմանափակ պահեք ախտորոշիչ ելքը՝ ոչ ընդհանուր գաղտնիք, ոչ օգտվողի գաղտնաբառ, ոչ ամբողջական փաթեթային բեռ աջակցության տոմսում։ Եթե նախագիծը պահանջում է, որ NPS սերվերը կարդա գրացուցակի հատկանիշներ, այդ թույլտվությունը հաճախորդի գրանցումից առանձին վարչական խնդիր է, և բացակայելիս այն այլ կերպ է ձախողվում։