Тұрақты VPN IP: RADIUS-тегі Framed-IP-Address немесе пулдағы резервтеу

VPN клиенті үшін тұрақты ішкі мекенжайды үш орын ұстай алады, және олардың тек біреуі оған ие болуы керек. RADIUS мекенжайды Access-Accept ішінде қайтара алады, шлюз аккаунт үшін статикалық сәйкестендіруді сақтай алады, ал клиент адаптерін қолмен орнатуға болады. Алғашқы екеуі саясат, ал үшіншісі — шлюз елемеуге немесе үстінен жазуға ерікті жергілікті болжам. Алғашқы екеуінің арасындағы таңдау нақты шешім, және ол желіге кіру серверінің шын мәнінде нені іске асыратынына байланысты.

Тұрақты мекенжай бола алатын үш орын

RADIUS мекенжайға жауап Framed-IP-Address алып жүргенде және шлюз сол мәнді сессияға қолданғанда ие болады. Шлюз әкімші аккаунтты пул ішіндегі статикалық мекенжайға сәйкестендіргенде оған ие болады. Клиент ештеңеге ие емес, тіпті адаптері қолмен енгізілген мекенжайды көрсетсе де, себебі сервер ішкі мекенжайды келіссөз кезінде тағайындайды, ал жергілікті параметр сервер ештеңе жібермегенде ғана маңызды. Үшеуі де жұмыс істеп тұрған қосылымда бірдей көрінеді, сондықтан қайшылықтар кеш анықталады. Айырмашылық қайта қосылу кезінде, екінші құрылғыда және саясат өзгергеннен кейін байқалады.

Екі ие — бұл сынатын конфигурация. RADIUS жауабы 172.28.4.77 тағайындап, шлюз 172.28.4.90 үшін статикалық сәйкестендіруді ұстап тұрса, өндіруші коды бірінші тексеретін мән қабылданады, ал жеңілгені журнал жолынсыз тасталады. Сол аккаунт екінші құрылғыда қайталанған мекенжай алады, және симптом тағайындау қайшылығы емес, маршруттау ақауы ретінде оқылады. Екінші механизмді қоспас бұрын иені шешіңіз.

Клиент тарапындағы нұсқаны тек оны жоққа шығару үшін атаған жөн. Адаптердің қолмен енгізілген мекенжайы — операциялық жүйе ұсына алатын қалау, резервтеу емес, және ол басқа сессияның сол мекенжайды алуына кедергі бола алмайды.

RADIUS жауабы нені уәде ете алады және нені ете алмайды

RFC 2865Framed-IP-Address-ты пайдаланушы үшін конфигурацияланатын IPv4 мекенжайы ретінде анықтайды, және ол Access-Accept ішінде болады. Access-Request ішіндегі сол атрибут — сервер елемеуге болатын нұсқау ғана, және бұл клиент немесе шлюз қалаулы мекенжай ұсынғанда маңызды. Протоколда шлюзді жауапты құрметтеуге мәжбүрлейтін ештеңе жоқ, себебі оны сессияға қолданатын компонент — желіге кіру сервері.

Қолдау — бұл өнім мәселесі, протокол мәселесі емес. Кейбір шлюздер кадрланған мекенжайларды әдепкі бойынша қолданады, басқаларына оны жасау үшін топ деңгейіндегі ажыратқышты қосу керек, ал тағы басқалары атрибутты қабылдап, оны қашықтан кіру сессиялары үшін ешқашан пайдаланбайды. Соңғы жағдай қауіпті, себебі есепке алу жазбасы жауапты көрсете алады, ал клиент пул мекенжайын алады. Мінез-құлықты нақты пайдаланып отырған шлюз үлгісі мен микропрограммасында растаңыз, бауырлас өнімнің құжаттамасында емес.

Шлюз елемейтін жауап ешқашан жіберілмеген жауапқа дәл ұқсайды. Access-Accept пен сессия мекенжайын қатар оқу — екі жағдайды ажыратудың жалғыз жолы.

Мекенжайды өзіңіз маршруттайтын пулдың ішінде резервтеңіз

Тұрақты мекенжайды шлюз әлдеқашан маршруттайтын және брандмауэр әлдеқашан сенетін пул ішкі желісінен таңдаңыз. Сол ауқымнан тыс мекенжай саясат өзгерісін маршруттау жобасына айналдырады, және VPN көтеріледі, бірақ оның артында ештеңе жауап бере алмайды. Егер мекенжай бойынша кіру ережелері болса, сол өзгерісте тұрақты мекенжайды оларға қосыңыз.

Екінші бір мезгілдегі сессия не істеуі керегін шешіңіз. Бір мекенжайды екі рет тағайындау құрылғыны басқару емес, және туындаған қақтығыс екі сессия үшін де үзіліп тұратын қосылым ретінде көрінеді. Не әр құрылғыға бөлек сәйкестендіру беріңіз, не бөлек тағайындаулар, немесе қолдау көрсетілетін тексеріспен бір мезгілділікті мәжбүрлеңіз, мысалы Simultaneous-Use, ескі сессия аяқталғанша клиент ешқашан қайта қосылмайды деп үміттенудің орнына.

Қайтару маршруттары тағайындау сияқты назарға лайық. Шлюзге пулға маршрут керек, ішкі маршрутизаторларға шлюзге қайта маршрут керек, ал тұрақты мекенжай екеуін де мұра етеді. Бір клиент жұмыс істеп, қалғандарының бәрі сәтсіз болса, әдетте пул маршруты бар, бірақ резервтелген мекенжайдың хост маршруты жоқ деген сөз.

Резервке сенбес бұрын жауапты тексеріңіз

AAA тарапын және сессия тарапын бөлек тексеріңіз, себебі олар әртүрлі себептермен сәтсіз болады. Жергілікті radtest шлюзді араластырмай сервердің аккаунт үшін нені қайтаратынын көрсетеді, ал пайдаланушылар файлындағы жазба сервер нені сәйкестендіруі керегін көрсетеді. Содан кейін клиентті қайта қосып, алған мекенжайды жауаптағы атрибутпен салыстырыңыз.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Атрибутсыз Access-Accept сервер жазбаны сәйкестендірмегенін немесе атрибут сол пайдаланушыға қолданылмағанын білдіреді. Атрибуты бар Access-Accept және әлі де пул мекенжайын алатын клиент шлюз оны елемегенін білдіреді. Access-Reject сізді тіркелгі деректеріне немесе топ саясатына қайтарады, және бұл нәтижелердің ешқайсысы клиент адаптерін өңдеу арқылы жөнделмеуі керек.

Тексеруді қайта қосылғаннан кейін және басқа құрылғыдан екінші кіргеннен кейін қайталаңыз. Тек бірінші сессия үшін ұсталатын резерв — болашақта болатын пул қақтығысы, және оны қазір табу аудит кезінде табудан арзан.

Бір иені таңдап, оны жазыңыз

Егер шлюз кадрланған мекенжайларды сенімді қолданса, тағайындауға RADIUS ие болсын, ал сол аккаунт үшін кез келген статикалық сәйкестендіруді жойыңыз. Егер олай болмаса, оған шлюз ие болсын және жауаптан атрибутты жойыңыз, сонда екі дереккөз қайшы келе алмайды. Екеуін де әрқайсысы дерлік жұмыс істейді деп ұстау болашақ сессияның қате мекенжаймен және айқын себепсіз болуын кепілдендіреді.

Таңдалған иені, резервтелген мекенжайды және ол қайдан келген пулды аккаунт жазбасына жазыңыз. Келесі құрылғы қосатын адам екеуінің қайсысын өзгертуден бұрын мекенжайдың AAA саясаты ма әлде шлюз сәйкестендіруі ме екенін көре алады.