Framed-IP-Address RADIUS untuk Alamat Klien VPN yang Stabil

RADIUS dapat menjawab dengan sebuah alamat untuk pengguna tertentu; apakah tunnel benar-benar menerimanya bergantung pada gateway. Di celah antara dikembalikan dan diterapkan itulah sebagian besar rencana alamat stabil gagal. Sebuah atribut dalam balasan uji membuktikan server dapat mengirimkannya, bukan bahwa layanan akses jarak jauh menerapkannya. Urutan di bawah memeriksa kedua bagian sebelum alamat masuk ke aturan firewall.

Tentukan lapisan mana yang memiliki alamat

Gateway akses jarak jauh biasanya memiliki kumpulan lokal, dan banyak juga dapat menerima alamat dari balasan autentikasi. Mana yang menang bergantung pada platform, protokol, dan konfigurasi layanan, jadi bacalah aturan prioritas untuk rilis yang tepat sedang dipakai. Jika kumpulan lokal diprioritaskan, atribut hanyalah hiasan dan klien tetap mendapat alamat acak. Catat keputusannya, termasuk apakah nilai yang dikembalikan harus berada di dalam rentang kumpulan atau boleh di luarnya.

RFC 2865 mendefinisikan Framed-IP-Address sebagai alamat yang harus dikonfigurasi untuk pengguna, dan tidak mengatakan apa pun tentang kesediaan gateway tertentu untuk menghormatinya. Dokumentasi vendor adalah otoritas tentang prioritas, bukan definisi atribut.

Kirim permintaan uji dan baca balasannya

Uji server secara terpisah terlebih dahulu, agar atribut yang hilang tidak disalahartikan sebagai masalah gateway. radtest mengirim satu Access-Request dan mencetak atribut yang kembali.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Cari Framed-IP-Address di Access-Accept dan pastikan nilainya adalah yang dimaksud, bukan alamat kumpulan dari aturan cadangan. Ketika atribut tidak ada, entri pengguna atau kebijakan otorisasi tidak cocok, dan penyetelan gateway tidak dapat menyediakan apa yang tidak pernah dikirim server. Ulangi permintaan saat server berjalan dalam mode debug jika balasannya sulit dilacak ke aturan tertentu. Jauhkan rahasia bersama dari riwayat shell dan tiket, karena placeholder di atas bukan kredensial.

Pastikan gateway menerapkan nilainya

Balasan yang benar hanyalah separuh dari kontrak. Alamat yang muncul pada antarmuka tunnel adalah pengamatan yang penting, dan itu dibaca di klien, bukan disimpulkan dari konfigurasi gateway.

ip -4 addr show tun0

Bandingkan alamat itu dengan atribut dari Access-Accept. Ketidakcocokan berarti gateway mengabaikan atau menulis ulang nilainya, yang membuka kembali pertanyaan prioritas dari bagian pertama. Hubungkan ulang sekali lagi, karena reservasi yang hanya berhasil pada percobaan pertama biasanya menunjuk pada sesi usang atau sewa yang masih dipegang koneksi sebelumnya. Catat rilis gateway dan protokol di samping hasil, agar orang berikutnya dapat mengetahui apakah perilakunya spesifik versi.

Rencanakan konkurensi dan pencabutan

Satu nama pengguna pada dua perangkat tidak dapat dipetakan ke satu alamat kecuali gateway membedakan sesinya dengan sesuatu selain login. Tentukan apakah pemetaan itu milik seseorang, perangkat terdaftar, atau identitas sertifikat, dan buat pilihan itu eksplisit di penyimpanan kebijakan. Uji klien kedua yang bersamaan dan bandingkan kedua alamat yang diberikan, karena tabrakan di sini muncul lagi nanti sebagai kesalahan perutean. Kehati-hatian yang sama berlaku dalam rencana pencabutan, karena alamat yang dialokasikan ulang saat aturan firewall lama masih merujuknya berubah menjadi bug otorisasi.

Pengalamatan stabil menyederhanakan aturan dan log, tetapi tidak pernah membuktikan siapa yang menghasilkan paket. Autentikasi dan otorisasi tujuan tetap penting ketika alamat itu nanti berpindah ke sesi lain.