ფიქსირებული VPN IP: Framed-IP-Address RADIUS-ში თუ აუზში რეზერვაცია

სამ ადგილს შეუძლია შეინახოს ფიქსირებული შიდა მისამართი VPN კლიენტისთვის, და მათგან მხოლოდ ერთმა უნდა ფლობდეს მას. RADIUS-ს შეუძლია მისამართის დაბრუნება Access-Accept-ში, გეითვეის შეუძლია ანგარიშისთვის სტატიკური შესაბამისობის შენახვა, და კლიენტის ადაპტერი ხელით დაყენება. პირველი ორი პოლიტიკაა, ხოლო მესამე ლოკალური ვარაუდია, რომლის იგნორირება ან გადაწერა გეითვეისთვის თავისუფალია. პირველ ორს შორის არჩევანი ნამდვილი გადაწყვეტილებაა და დამოკიდებულია იმაზე, თუ რას ახორციელებს სინამდვილეში ქსელური წვდომის სერვერი.

სამი ადგილი, სადაც ფიქსირებული მისამართი შეიძლება იყოს

RADIUS ფლობს მისამართს, როცა პასუხი შეიცავს Framed-IP-Address-ს და გეითვეი ამ მნიშვნელობას სესიაზე იყენებს. გეითვეი ფლობს მას, როცა ადმინისტრატორი ანგარიშს აუზის შიგნით სტატიკურ მისამართზე აბამს. კლიენტი არაფერს ფლობს, მაშინაც კი, როცა მისი ადაპტერი ხელით შეყვანილ მისამართს აჩვენებს, რადგან სერვერი შიდა მისამართს მოლაპარაკების დროს ანიჭებს და ლოკალურ პარამეტრს მნიშვნელობა მხოლოდ მაშინ აქვს, როცა სერვერი არაფერს აგზავნის. სამივე ერთნაირად გამოიყურება მუშა კავშირზე, ამიტომ კონფლიქტები გვიან ვლინდება. განსხვავება ჩანს ხელახლა დაკავშირებისას, მეორე მოწყობილობაზე და პოლიტიკის ცვლილების შემდეგ.

ორი მფლობელი ის კონფიგურაციაა, რომელიც ტყდება. RADIUS-ის პასუხი ანიჭებს 172.28.4.77-ს, სანამ გეითვეი 172.28.4.90-ისთვის სტატიკურ შესაბამისობას ინახავს, და შედეგად ის მნიშვნელობა მიიღება, რომელსაც მწარმოებლის კოდი პირველად ამოწმებს, ხოლო წაგებული ჟურნალის ხაზის გარეშე იშლება. იგივე ანგარიში მეორე მოწყობილობაზე შემდეგ დუბლირებულ მისამართს იღებს, და სიმპტომი მარშრუტიზაციის ხარვეზად იკითხება და არა როგორც ანიჭების კონფლიქტი. გადაწყვიტეთ მფლობელი, სანამ მეორე მექანიზმს დაამატებთ.

კლიენტის მხარის ვარიანტი მხოლოდ მის გამოსარიცხად ღირს დასახელება. ადაპტერის ხელით მისამართი უპირატესობაა, რომელიც ოპერაციულ სისტემას შეუძლია წარმოადგინოს, და არა რეზერვაცია, და მას არ შეუძლია ხელი შეუშალოს სხვა სესიას იმავე მისამართის მიღებაში.

რა შეუძლია RADIUS-ის პასუხს დაპირდეს და რა არა

RFC 2865Framed-IP-Address-ს განსაზღვრავს, როგორც IPv4 მისამართს, რომელიც მომხმარებლისთვის უნდა დაკონფიგურდეს, და ის Access-Accept-ს ეკუთვნის. იგივე ატრიბუტი Access-Request-ში მხოლოდ მინიშნებაა, რომლის იგნორირებაც სერვერს შეუძლია, და ეს მნიშვნელოვანია, როცა კლიენტი ან გეითვეი სასურველ მისამართს გვთავაზობს. პროტოკოლში არაფერი აიძულებს გეითვეის პატივი სცეს პასუხს, რადგან ქსელური წვდომის სერვერია ის კომპონენტი, რომელიც მას სესიაზე იყენებს.

მხარდაჭერა პროდუქტის საკითხია და არა პროტოკოლის. ზოგი გეითვეი ჩარჩოში მოქცეულ მისამართებს ნაგულისხმევად იყენებს, ზოგს ჯგუფის დონის გადამრთველის ჩართვა სჭირდება ამისთვის, ზოგი კი ატრიბუტს იღებს და დისტანციური წვდომის სესიებისთვის არასდროს იყენებს. ეს უკანასკნელი საშიშია, რადგან აღრიცხვის ჩანაწერმა შეიძლება პასუხი აჩვენოს, სანამ კლიენტი აუზის მისამართს იღებს. დაადასტურეთ ქცევა ზუსტად იმ გეითვეის მოდელსა და firmware-ზე, რომელსაც ამუშავებთ, და არა დობილი პროდუქტის დოკუმენტაციაზე.

პასუხი, რომელსაც გეითვეი უგულებელყოფს, ზუსტად ისე გამოიყურება, როგორც არასდროს გაგზავნილი პასუხი. Access-Accept-ისა და სესიის მისამართის გვერდიგვერდ წაკითხვა ერთადერთი გზაა ამ ორი შემთხვევის გასაყოფად.

დაჯავშნეთ მისამართი იმ აუზის შიგნით, რომელსაც უკვე მარშრუტიზაციას უწევთ

აირჩიეთ ფიქსირებული მისამართი იმ აუზის ქვექსელიდან, რომელსაც გეითვეი უკვე მარშრუტიზაციას უწევს და რომელსაც firewall უკვე ენდობა. ამ დიაპაზონის გარეთ მისამართი პოლიტიკის ცვლილებას მარშრუტიზაციის პროექტად აქცევს, და VPN ამოვა, სანამ მის უკან არაფერი შეძლებს პასუხს. თუ მისამართის მიხედვით წვდომის წესები არსებობს, იმავე ცვლილებაში დაამატეთ ფიქსირებული მისამართი მათში.

გადაწყვიტეთ, რა უნდა გააკეთოს მეორე ერთდროულმა სესიამ. ერთი მისამართის ორჯერ ანიჭება მოწყობილობების მართვა არაა, და შედეგად მიღებული კოლიზია ორივე სესიისთვის წყვეტილი კავშირის სახით ჩნდება. ან გასცეთ განსხვავებული იდენტობები თითოეულ მოწყობილობაზე, ან განსხვავებული ანიჭებები, ან აიძულეთ ერთდროულობა მხარდაჭერილი შემოწმებით, მაგალითად Simultaneous-Use, იმის იმედის ნაცვლად, რომ კლიენტი არასდროს ხელახლა დაუკავშირდება ძველი სესიის ამოწურვამდე.

დაბრუნების მარშრუტები იმავე ყურადღებას იმსახურებს, რაც ანიჭება. გეითვეის აუზამდე მარშრუტი სჭირდება, შიდა მარშრუტიზატორებს უკან გეითვეისკენ მარშრუტი სჭირდება, და ფიქსირებული მისამართი ორივეს მემკვიდრეობით იღებს. ერთი კლიენტის მუშაობა, სანამ ყველა სხვა ვარდება, ჩვეულებრივ ნიშნავს, რომ აუზის მარშრუტი არსებობს, მაგრამ დაჯავშნილი მისამართის host-მარშრუტი არა.

შეამოწმეთ პასუხი, სანამ რეზერვაციას ენდობით

ცალკე შეამოწმეთ AAA მხარე და სესიის მხარე, რადგან ისინი სხვადასხვა მიზეზით ვარდება. ლოკალური radtest აჩვენებს, თუ რას აბრუნებს სერვერი ანგარიშისთვის გეითვეის ჩართვის გარეშე, და მომხმარებლების ფაილის ჩანაწერი აჩვენებს, რას უნდა დაემთხვეს სერვერი. შემდეგ ხელახლა დაუკავშირეთ კლიენტი და შეადარეთ მიღებული მისამართი პასუხში არსებულ ატრიბუტს.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Access-Accept ატრიბუტის გარეშე ნიშნავს, რომ სერვერმა ჩანაწერი ვერ დაემთხვა ან ატრიბუტი ამ მომხმარებელზე არ იქნა გამოყენებული. Access-Accept ატრიბუტით და კლიენტი, რომელიც კვლავ აუზის მისამართს იღებს, ნიშნავს, რომ გეითვეიმ ის უგულებელყო. Access-Reject გაბრუნებთ ავტორიზაციის მონაცემებთან ან ჯგუფის პოლიტიკასთან, და ამ შედეგებიდან არც ერთი არ უნდა გამოირკვეს კლიენტის ადაპტერის რედაქტირებით.

გაიმეორეთ შემოწმება ხელახლა დაკავშირების შემდეგ და სხვა მოწყობილობიდან მეორე შესვლის შემდეგ. რეზერვაცია, რომელიც მხოლოდ პირველ სესიას უძლებს, აუზის კონფლიქტია, რომელიც დადგომას ელოდება, და უფრო იაფია მისი ახლა პოვნა, ვიდრე აუდიტის დროს.

აირჩიეთ ერთი მფლობელი და ჩაწერეთ ის

თუ გეითვეი ჩარჩოში მოქცეულ მისამართებს საიმედოდ იყენებს, მიეცით RADIUS-ს ანიჭების მფლობელობა და წაშალეთ ნებისმიერი სტატიკური შესაბამისობა იმავე ანგარიშისთვის. თუ არა, მიეცით გეითვეის მისი ფლობის უფლება და წაშალეთ ატრიბუტი პასუხიდან, რათა ორი წყარო ვერ ეწინააღმდეგებოდეს ერთმანეთს. ორივეს შენახვა იმიტომ, რომ თითოეული თითქმის მუშაობს, გარანტირებულს ხდის მომავალ სესიას არასწორი მისამართით და აშკარა მიზეზის გარეშე.

ჩაწერეთ არჩეული მფლობელი, დაჯავშნილი მისამართი და აუზი, საიდანაც ის მოვიდა, ანგარიშის ჩანაწერში. შემდეგი ადამიანი, რომელიც მოწყობილობას დაამატებს, შეძლებს დაინახოს, მისამართი AAA პოლიტიკაა თუ გეითვეის შესაბამისობა, სანამ რომელიმეს შეცვლის.