რომელ მისამართს არეგისტრირებთ NPS RADIUS კლიენტად?
დაარეგისტრირეთ კარიბჭის რეალური backend წყარო, არა საჯარო hostname ან კლიენტების აუზი. შეუსაბამეთ საერთო საიდუმლო, შემდეგ დაადასტურეთ ერთი კონტროლირებადი მოთხოვნით.
VPN კარიბჭეს, რომელიც ავთენტიფიკაციას Windows NPS-ს გადასცემს, NPS-ის მხარეს ერთი ობიექტი სჭირდება, სანამ რომელიმე მომხმარებლის პოლიტიკა იმუშავებს: RADIUS კლიენტის ჩანაწერი კარიბჭისთვის. წარუმატებელი ცდების უმეტესობა არასწორ მისამართს არეგისტრირებს, რადგან მნიშვნელოვანია ის მისამართი, რომელსაც კარიბჭე თავის backend გზაზე იყენებს და არა ის hostname, რომელსაც თანამშრომლები თავიანთ VPN აპში აკრეფენ. თუ ეს მნიშვნელობა არასწორია, NPS მოთხოვნას ჩუმად გადააგდებს, რაც კლიენტის მხრიდან არასწორ პაროლს ჰგავს. სამი პირობა წყვეტს, რომელი მისამართი ეკუთვნის ველს, ამიტომ ისინი კონსოლის გახსნამდე გაარკვიეთ.
დაარეგისტრირეთ კარიბჭე და არა ლეპტოპები ან აუზი
RADIUS კლიენტის ობიექტი წარმოადგენს ქსელური წვდომის მოწყობილობას, რომელიც ავთენტიფიკაციის მოთხოვნებს აგზავნის. ეს არის VPN კარიბჭე და არა ყოველი ლეპტოპი, რომელზეც კლიენტი მუშაობს, და არა გვირაბებში დარიგებული მისამართების დიაპაზონი.
ეს გვირაბის მისამართები არასდროს ჩნდება RADIUS მოთხოვნის წყაროდ, რადგან მოთხოვნა კარიბჭის საკუთარი ქსელური გზით მიდის. კლიენტების აუზის ჩანაწერის რეგისტრაცია ქმნის პოლიტიკას, რომელიც ვერასდროს დაემთხვევა, მაშინ როცა ნამდვილი მოთხოვნა მოდის მისამართიდან, რომლის შესახებ NPS-ს არასდროს სმენია. იგივე აღრევა იწვევს იმას, რომ ადამიანები თითოეული თანამშრომლის სახლის IP-ს ამატებენ, რაც ერთდროულად შეუნარჩუნებელი და არასწორია.
სამი პირობა წყვეტს თქვენ მიერ შეყვანილ მისამართს
ჯერ იპოვეთ ის წყარო მისამართი, რომელსაც კარიბჭე რეალურად იყენებს NPS-ის მიმართულებით. მრავალინტერფეისიანი კარიბჭე ხშირად მართვის ან backend ინტერფეისიდან აგზავნის და არა თავისი საჯარო VPN მსმენელიდან. მეორეც, შეამოწმეთ, არის თუ არა მათ შორის NAT: თუ მოთხოვნა ითარგმნება, NPS ხედავს თარგმნილ მისამართს და სწორედ ეს არის დასარეგისტრირებელი მნიშვნელობა. მესამეც, თუ ორი კარიბჭე იზიარებს როლს, თითოეულ მოთხოვნის წყაროს საკუთარი კლიენტის ჩანაწერი სჭირდება, რადგან ერთი მისამართის მქონე ერთი ობიექტი მხოლოდ ერთ მათგანს ფარავს.
ორწვერიანი ჩანაწერი წყვილს წესრიგში ინახავს. ქვემოთ მოცემული ცხრილი საილუსტრაციოდ კერძო მისამართებს იყენებს, ამიტომ შეცვალეთ ისინი იმით, რასაც თქვენი გზა რეალურად იყენებს.
| At NPS | At the VPN gateway |
|---|---|
| RADIUS client address 10.20.0.10 | Authentication server 10.20.0.20 |
| Shared secret, agreed value | The same secret, same value |
| UDP 1812 permitted from 10.20.0.10 | UDP 1812 permitted toward 10.20.0.20 |
დაადასტურეთ წყარო და ნუ გამოიცნობთ. ერთი ცდის განმავლობაში უყურეთ NPS-ის ან firewall-ის ჟურნალს, ან გააკეთეთ ჩაჭერა NPS ჰოსტზე sudo tcpdump -ni any udp port 1812-ით. ამ ჩაჭერაში არსებული მისამართი ერთადერთი დასაცავი პასუხია კლიენტის ჩანაწერისთვის. თუ კარიბჭეს რამდენიმე შესაძლო წყარო აქვს, თითოეული საკუთარი მეგობრული სახელით დაარეგისტრირეთ.
საერთო საიდუმლო კარიბჭესა და NPS-ს შორის მნიშვნელობაა
საერთო საიდუმლო ადასტურებს მოწყობილობათა ურთიერთობას. ეს არ არის მომხმარებლის პაროლი და ის არასდროს ნაწილდება თანამშრომლებზე ან არ ჩაშენდება კლიენტის პროფილებში.
აირჩიეთ ერთი მნიშვნელობა, შეიყვანეთ ის ორივე ადგილას და შეინახეთ იქ, სადაც კარიბჭის კონფიგურაციის სარეზერვო ასლია. შეუსაბამობა ქმნის მოთხოვნას, რომელსაც NPS სასარგებლო შეცდომის გარეშე აგდებს და ეს კარიბჭის ჟურნალში მიუწვდომელი სერვერისგან არ განსხვავდება. მოატრიალეთ ის ტექნიკური მომსახურების ფანჯარაში და განაახლეთ ორივე ბოლო იმავე ცვლილებაში.
დაადასტურეთ ერთი დაშვებული მოთხოვნით
გამოიყენეთ კონტროლირებადი ანგარიში და შეადარეთ ერთი ცდა ორივე მხარეს. კარიბჭეზე დაადასტურეთ, რომ მოთხოვნა გაემგზავრა განზრახული სერვერისკენ; NPS-ზე დაადასტურეთ, რომ ის დარეგისტრირებული კლიენტიდან მოვიდა და მოსალოდნელ კავშირის მოთხოვნის პოლიტიკას დაემთხვა. ვადის გასვლა და უარყოფა სხვადასხვა რამეს ნიშნავს და ორივეს როგორც სარეგისტრაციო მონაცემთა პრობლემის განხილვა მომდევნო საათს კარგავს. შემდეგ გამოსცადეთ მოქმედი, მაგრამ უფლებამოსილების არმქონე ანგარიში და არასწორი პაროლი, რადგან ყველაფრის მიმღები პოლიტიკა პირველ გამოცდასაც გადის.
ბოლოს, შეამოწმეთ რას აკეთებს კარიბჭე დაბრუნებული ავტორიზაციით. RADIUS კლიენტის რეგისტრაცია მხოლოდ მოწყობილობას აძლევს მონაწილეობის უფლებას; ის არ ანიჭებს ყოველ შედეგად წარმოქმნილ სესიას წვდომას LAN-ზე.
შეზღუდეთ დიაგნოსტიკური გამომავალი: არავითარი საერთო საიდუმლო, არავითარი მომხმარებლის პაროლი, არავითარი სრული პაკეტის დატვირთვა მხარდაჭერის ბილეთში. თუ დიზაინი მოითხოვს, რომ NPS სერვერმა წაიკითხოს დირექტორიის ატრიბუტები, ეს უფლება კლიენტის რეგისტრაციისგან ცალკე ადმინისტრაციული ამოცანაა და მისი არარსებობისას ის სხვანაირად ფეილდება.