Hvaða vistfang skráir þú sem NPS RADIUS-biðlara?

VPN-gátt sem afhendir auðkenningu til Windows NPS þarf eitt hlut á NPS-hliðinni áður en nokkur notendastefna getur keyrt: RADIUS-biðlarafærslu fyrir gáttina. Flestar misheppnuðu tilraunir skrá rangt vistfang, því vistfangið sem skiptir máli er það sem gáttin notar á bakendabraut sinni, ekki hýslinafnið sem starfsfólk slær inn í VPN-forritið sitt. Ef það gildi er rangt hendir NPS beiðninni hljóðlega, sem lítur út eins og rangt lykilorð frá hlið biðlarans. Þrjú skilyrði ráða því hvaða vistfang á í reitinn, svo greiddu úr þeim áður en þú opnar stjórnborðið.

Skráðu gáttina, ekki fartölvurnar eða hópinn

RADIUS-biðlarahluturinn táknar netaðgangstækið sem sendir auðkenningarbeiðnir. Það er VPN-gáttin, ekki hver fartölva sem keyrir biðlarann, og ekki svið vistfanga sem úthlutað er inni í göngunum.

Þessi gangavistföng birtast aldrei sem uppruni RADIUS-beiðni, því beiðnin fer eftir eigin netbraut gáttarinnar. Að skrá biðlarahópsfærslu framleiðir stefnu sem getur aldrei passað, á meðan raunverulega beiðnin kemur frá vistfangi sem NPS hefur aldrei heyrt um. Sama ruglingurinn veldur því að fólk bætir við heimilisfangi hvers starfsmanns, sem er bæði óviðhaldanlegt og rangt.

Þrjú skilyrði ráða vistfanginu sem þú slærð inn

Fyrst, finndu upprunavistfangið sem gáttin notar í raun til NPS. Gátt með margar tengingar sendir oft frá stjórnunar- eða bakendatengingu frekar en opinberum VPN-hlustunartæki sínum. Í öðru lagi, athugaðu hvort NAT sé á milli: ef beiðnin er þýdd sér NPS þýdda vistfangið, og það er gildið sem á að skrá. Í þriðja lagi, ef tvær gáttir deila hlutverkinu þarf hver beiðniuppruni sína eigin biðlarafærslu, því eitt hlut með einu vistfangi nær aðeins yfir aðra þeirra.

Færsla með tvo enda heldur parinu beinu. Taflan hér að neðan notar einkavistföng sem dæmi, svo skiptu þeim út fyrir þau sem brautin þín notar í raun.

Staðfestu upprunann í stað þess að giska á hann. Fylgstu með NPS- eða eldveggjarskránni í einni tilraun, eða taktu upp á NPS-hýsinu með sudo tcpdump -ni any udp port 1812. Vistfangið í þeirri upptöku er eina verjanlega svarið fyrir biðlarafærsluna. Ef gáttin hefur nokkra mögulega uppruna skráðu hvern þeirra undir eigin vingjarnlegu nafni.

Sameiginlega leyndarmálið er gildi milli gáttar og NPS

Sameiginlega leyndarmálið auðkennir samband tækjanna. Það er ekki notendalykilorð og er aldrei dreift til starfsfólks né fellt inn í biðlarasnið.

Veldu eitt gildi, sláðu það inn á báða staði og geymdu það þar sem öryggisafrit stillingar gáttarinnar er. Misræmi framleiðir beiðni sem NPS hendir án nothæfrar villu, og það er ekki hægt að greina frá óaðgengilegum netþjóni í skrá gáttarinnar. Snúðu því í viðhaldsglugga og uppfærðu báða enda í sömu breytingu.

Staðfestu með einni leyfðri beiðni

Notaðu stýrt reikning og samræmdu eina tilraun á báðum hliðum. Á gáttinni staðfestu að beiðnin hafi farið til fyrirhugaðs netþjóns; á NPS að hún hafi komið frá skráðum biðlara og passað við vænta tengingarbeiðnistefnu. Tímamörk og höfnun þýða ólíka hluti, og að meðhöndla bæði sem auðkennavandamál eyðir næstu klukkustund. Prófaðu svo gilt en óhæft reikning og rangi lykilorð, því stefna sem samþykkir allt stenst líka fyrsta prófið.

Að lokum, athugaðu hvað gáttin gerir við heimildina sem skilað er. Að skrá RADIUS-biðlara leyfir tækinu aðeins að taka þátt; það veitir ekki hverri lotu sem verður til aðgang að LAN.

Haltu greiningarúttaki í skefjum: engin sameiginleg leyndarmál, engin notendalykilorð, engar heildar pakkabyrðar í stuðningsmiða. Ef hönnunin krefst þess að NPS-netþjónninn lesi eiginleika skrár er sú heimild sérstakt stjórnunarverkefni frá skráningu biðlarans, og þegar hún vantar mistekst það á annan hátt.