IP VPN tetap: Framed-IP-Address RADIUS atau reservasi di pool

Tiga tempat dapat menyimpan alamat internal tetap untuk klien VPN, dan hanya satu di antaranya yang seharusnya memilikinya. RADIUS dapat mengembalikan alamat dalam Access-Accept, gateway dapat menyimpan pemetaan statis untuk akun, dan adaptor klien dapat diatur secara manual. Dua yang pertama adalah kebijakan dan yang ketiga adalah tebakan lokal yang boleh diabaikan atau ditimpa oleh gateway. Memilih antara dua yang pertama adalah keputusan sebenarnya, dan itu bergantung pada apa yang benar-benar diterapkan server akses jaringan.

Tiga tempat alamat tetap bisa berada

RADIUS memiliki alamat saat balasan membawa Framed-IP-Address dan gateway menerapkan nilai itu ke sesi. Gateway memilikinya saat administrator memetakan akun ke alamat statis di dalam pool. Klien tidak memiliki apa pun, bahkan saat adaptornya menampilkan alamat manual, karena server menetapkan alamat internal selama negosiasi dan pengaturan lokal hanya penting saat server tidak mengirim apa pun. Ketiganya tampak identik pada koneksi yang berfungsi, itulah sebabnya konflik muncul terlambat. Perbedaannya terlihat saat menyambung ulang, pada perangkat kedua, dan setelah perubahan kebijakan.

Dua pemilik adalah konfigurasi yang rusak. Balasan RADIUS yang menetapkan 172.28.4.77 sementara gateway menyimpan pemetaan statis untuk 172.28.4.90 menghasilkan nilai yang diperiksa kode vendor lebih dulu, dan yang kalah dibuang tanpa satu baris log. Akun yang sama pada perangkat kedua kemudian menerima alamat duplikat, dan gejalanya terbaca sebagai gangguan routing alih-alih konflik penetapan. Tetapkan pemiliknya sebelum menambahkan mekanisme kedua.

Opsi sisi klien layak disebut hanya agar bisa dikesampingkan. Alamat adaptor manual adalah preferensi yang mungkin ditampilkan sistem operasi, bukan reservasi, dan tidak dapat mencegah sesi lain menerima alamat yang sama.

Apa yang bisa dan tidak bisa dijanjikan balasan RADIUS

RFC 2865mendefinisikan Framed-IP-Address sebagai alamat IPv4 yang harus dikonfigurasi untuk pengguna, dan itu termasuk dalam Access-Accept. Atribut yang sama dalam Access-Request hanyalah petunjuk yang boleh diabaikan server, yang penting saat klien atau gateway menawarkan alamat pilihan. Tidak ada apa pun dalam protokol yang memaksa gateway mematuhi balasan, karena server akses jaringan adalah komponen yang menerapkannya ke sesi.

Dukungan adalah pertanyaan produk, bukan protokol. Sebagian gateway menerapkan alamat berbingkai secara default, sebagian lagi perlu sakelar tingkat grup diaktifkan sebelum melakukannya, dan sebagian lagi menerima atribut itu dan tidak pernah memakainya untuk sesi akses jarak jauh. Kasus terakhir itulah yang berbahaya, karena catatan akuntansi dapat menunjukkan balasan sementara klien menerima alamat pool. Konfirmasikan perilakunya pada model gateway dan firmware persis yang Anda jalankan, bukan pada dokumentasi produk saudara.

Balasan yang diabaikan gateway tampak persis seperti balasan yang tidak pernah dikirim. Membaca Access-Accept dan alamat sesi berdampingan adalah satu-satunya cara memisahkan kedua kasus itu.

Reservasikan alamat di dalam pool yang sudah Anda rutekan

Pilih alamat tetap dari subnet pool yang sudah dirutekan gateway dan sudah dipercaya firewall. Alamat di luar rentang itu mengubah perubahan kebijakan menjadi proyek routing, dan VPN akan menyala sementara tidak ada apa pun di belakangnya yang bisa menjawab. Jika ada aturan akses per alamat, tambahkan alamat tetap itu ke dalamnya pada perubahan yang sama.

Putuskan apa yang harus dilakukan sesi simultan kedua. Menetapkan satu alamat dua kali bukan manajemen perangkat, dan tabrakan yang dihasilkan muncul sebagai konektivitas terputus-putus untuk kedua sesi. Entah terbitkan identitas berbeda per perangkat, penetapan berbeda, atau tegakkan keserempakan dengan pemeriksaan yang didukung, seperti Simultaneous-Use, alih-alih berharap klien tidak pernah menyambung ulang sebelum sesi lama kedaluwarsa.

Rute balik layak mendapat perhatian yang sama seperti penetapan. Gateway memerlukan rute ke pool, router internal memerlukan rute kembali ke gateway, dan alamat tetap mewarisi keduanya. Satu klien yang berfungsi sementara semua klien lain gagal biasanya berarti rute pool ada tetapi rute host untuk alamat yang direservasikan tidak ada.

Uji balasannya sebelum Anda memercayai reservasi

Uji sisi AAA dan sisi sesi secara terpisah, karena keduanya gagal karena alasan berbeda. Sebuah radtest lokal menunjukkan apa yang dikembalikan server untuk akun tanpa melibatkan gateway, dan entri berkas pengguna menunjukkan apa yang seharusnya dicocokkan server. Lalu sambungkan ulang klien dan bandingkan alamat yang diterimanya dengan atribut dalam balasan.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Access-Accept tanpa atribut berarti server tidak mencocokkan entri atau atribut tidak diterapkan ke pengguna itu. Access-Accept dengan atribut dan klien yang masih menerima alamat pool berarti gateway mengabaikannya. Access-Reject mengirim Anda kembali ke kredensial atau kebijakan grup, dan tidak satu pun dari hasil ini boleh di-debug dengan mengedit adaptor klien.

Ulangi pemeriksaan setelah menyambung ulang dan setelah login kedua dari perangkat lain. Reservasi yang hanya bertahan untuk sesi pertama adalah konflik pool yang menunggu terjadi, dan lebih murah menemukannya sekarang daripada saat audit.

Pilih satu pemilik dan tuliskan

Jika gateway menerapkan alamat berbingkai secara andal, biarkan RADIUS memiliki penetapannya dan hapus semua pemetaan statis untuk akun yang sama. Jika tidak, biarkan gateway memilikinya dan hapus atribut dari balasan, agar kedua sumber tidak bisa berselisih. Mempertahankan keduanya karena masing-masing hampir berfungsi menjamin sesi mendatang dengan alamat yang salah dan tanpa penyebab yang jelas.

Tuliskan pemilik yang dipilih, alamat yang direservasikan, dan pool asalnya ke dalam catatan akun. Orang berikutnya yang menambahkan perangkat dapat melihat apakah alamat itu kebijakan AAA atau pemetaan gateway sebelum mengubah salah satunya.