Alamat mana yang Anda daftarkan sebagai klien RADIUS NPS?

Gateway VPN yang menyerahkan autentikasi ke Windows NPS memerlukan satu objek di sisi NPS sebelum kebijakan pengguna mana pun dapat berjalan: entri klien RADIUS untuk gateway tersebut. Sebagian besar percobaan yang gagal mendaftarkan alamat yang salah, karena alamat yang penting adalah yang dipakai gateway pada jalur backendnya, bukan nama host yang diketik staf di aplikasi VPN mereka. Jika nilai itu keliru, NPS membuang permintaan secara diam-diam, yang dari sisi klien tampak seperti kata sandi salah. Tiga syarat menentukan alamat mana yang masuk ke kolom, jadi selesaikan dulu sebelum membuka konsol.

Daftarkan gateway, bukan laptop atau kumpulan alamat

Objek klien RADIUS mewakili perangkat akses jaringan yang mengirim permintaan autentikasi. Itu adalah gateway VPN, bukan setiap laptop yang menjalankan klien, dan bukan rentang alamat yang dibagikan di dalam terowongan.

Alamat terowongan itu tidak pernah muncul sebagai sumber permintaan RADIUS, karena permintaan berjalan melalui jalur jaringan gateway itu sendiri. Mendaftarkan entri kumpulan klien menghasilkan kebijakan yang tidak akan pernah cocok, sementara permintaan sebenarnya datang dari alamat yang belum pernah didengar NPS. Kekeliruan yang sama membuat orang menambahkan IP rumah setiap karyawan, yang sekaligus tidak terkelola dan salah.

Tiga syarat menentukan alamat yang Anda masukkan

Pertama, temukan alamat sumber yang benar-benar dipakai gateway menuju NPS. Gateway dengan banyak antarmuka sering mengirim dari antarmuka manajemen atau backend alih-alih pendengar VPN publiknya. Kedua, periksa apakah ada NAT di antara keduanya: jika permintaan diterjemahkan, NPS melihat alamat hasil terjemahan, dan itulah nilai yang harus didaftarkan. Ketiga, jika dua gateway berbagi peran, setiap sumber permintaan memerlukan entri klien sendiri, karena satu objek dengan satu alamat hanya mencakup salah satunya.

Catatan dua ujung menjaga pasangan tetap rapi. Tabel di bawah memakai alamat privat sebagai ilustrasi, jadi gantilah dengan yang benar-benar dipakai jalur Anda.

Pastikan sumbernya alih-alih menebaknya. Amati log NPS atau firewall selama satu percobaan, atau tangkap di host NPS dengan sudo tcpdump -ni any udp port 1812. Alamat dalam tangkapan itu adalah satu-satunya jawaban yang dapat dipertahankan untuk entri klien. Jika gateway memiliki beberapa kemungkinan sumber, daftarkan masing-masing dengan nama ramahnya sendiri.

Rahasia bersama adalah nilai antara gateway dan NPS

Rahasia bersama mengautentikasi hubungan perangkat. Itu bukan kata sandi pengguna dan tidak pernah dibagikan ke staf atau disematkan di profil klien.

Pilih satu nilai, masukkan di kedua tempat, dan simpan di tempat cadangan konfigurasi gateway berada. Ketidakcocokan menghasilkan permintaan yang dibuang NPS tanpa galat yang berguna, dan itu tidak dapat dibedakan dari server yang tidak terjangkau di log gateway. Rotasikan selama jendela pemeliharaan dan perbarui kedua ujungnya dalam perubahan yang sama.

Pastikan dengan satu permintaan yang diizinkan

Gunakan akun terkendali dan korelasikan satu percobaan di kedua sisi. Di gateway, pastikan permintaan berangkat menuju server yang dimaksud; di NPS, pastikan permintaan datang dari klien terdaftar dan cocok dengan kebijakan permintaan koneksi yang diharapkan. Waktu habis dan penolakan berarti hal berbeda, dan memperlakukan keduanya sebagai masalah kredensial membuang satu jam berikutnya. Lalu uji akun yang sah tetapi tidak memenuhi syarat dan kata sandi salah, karena kebijakan yang menerima semuanya juga lulus uji pertama.

Terakhir, periksa apa yang dilakukan gateway dengan otorisasi yang dikembalikan. Mendaftarkan klien RADIUS hanya mengizinkan perangkat berpartisipasi; itu tidak memberi setiap sesi yang dihasilkan akses ke LAN.

Jaga keluaran diagnostik tetap terbatas: tanpa rahasia bersama, tanpa kata sandi pengguna, tanpa muatan paket lengkap di tiket dukungan. Jika desain menuntut server NPS membaca atribut direktori, izin itu adalah tugas administratif terpisah dari pendaftaran klien, dan bila tidak ada ia gagal dengan cara berbeda.