NPS RADIUS клиенті ретінде қандай мекенжайды тіркейсіз?

Аутентификацияны Windows NPS-ке тапсыратын VPN шлюзіне кез келген пайдаланушы саясаты іске қосылмас бұрын NPS жағында бір нысан қажет: шлюз үшін RADIUS клиентінің жазбасы. Сәтсіз әрекеттердің көбі дұрыс емес мекенжайды тіркейді, өйткені маңызды мекенжай — шлюздің backend жолында қолданатыны, ал қызметкерлер VPN қолданбасына теретін хост атауы емес. Бұл мәнді қате алсаңыз, NPS сұранысты үнсіз тастайды, бұл клиент жағынан қате құпиясөз сияқты көрінеді. Өріске қай мекенжай жататынын үш шарт шешеді, сондықтан консольді ашпас бұрын оларды анықтап алыңыз.

Шлюзді тіркеңіз, ноутбуктерді немесе пулды емес

RADIUS клиенті нысаны аутентификация сұраныстарын жіберетін желіге кіру құрылғысын білдіреді. Бұл VPN шлюзі, клиентті іске қосатын әрбір ноутбук емес және туннельдердің ішінде берілетін мекенжайлар ауқымы да емес.

Ол туннель мекенжайлары ешқашан RADIUS сұранысының көзі ретінде көрінбейді, өйткені сұраныс шлюздің өз желілік жолымен жүреді. Клиенттер пулының жазбасын тіркеу ешқашан сәйкеспейтін саясат жасайды, ал нақты сұраныс NPS ешқашан естімеген мекенжайдан келеді. Дәл сол шатасу адамдарды әр қызметкердің үй IP-сін қосуға апарады, бұл бір мезгілде күтуге қиын және қате.

Енгізетін мекенжайды үш шарт шешеді

Біріншіден, шлюздің NPS-ке қарай шынымен қолданатын бастауыш мекенжайын табыңыз. Көп интерфейсті шлюз көбіне өзінің ашық VPN тыңдаушысынан емес, басқару немесе backend интерфейсінен жібереді. Екіншіден, екеуінің арасында NAT бар-жоғын тексеріңіз: сұраныс аударылса, NPS аударылған мекенжайды көреді, тіркелетін мән — сол. Үшіншіден, екі шлюз рөлді бөліссе, әр сұраныс көзіне өз клиент жазбасы қажет, өйткені бір мекенжайы бар бір нысан тек біреуін қамтиды.

Екі ұшы бар жазба жұпты тәртіпте ұстайды. Төмендегі кесте мысал ретінде жеке мекенжайларды қолданады, сондықтан оларды жолыңыз шынымен қолданатындармен ауыстырыңыз.

Көзді болжамай, растаңыз. Бір әрекет кезінде NPS немесе firewall журналын қараңыз, немесе NPS хостта sudo tcpdump -ni any udp port 1812 көмегімен ұстап алыңыз. Сол ұстап алудағы мекенжай клиент жазбасы үшін жалғыз қорғауға болатын жауап. Шлюздің бірнеше ықтимал көзі болса, әрқайсысын өз достық атауымен тіркеңіз.

Ортақ құпия — шлюз бен NPS арасындағы мән

Ортақ құпия құрылғылар арасындағы қатынасты растайды. Ол пайдаланушы құпиясөзі емес және ешқашан қызметкерлерге таратылмайды немесе клиент профильдеріне енгізілмейді.

Бір мәнді таңдаңыз, оны екі жерге енгізіңіз және шлюз конфигурациясының сақтық көшірмесі тұрған жерде сақтаңыз. Сәйкессіздік NPS пайдалы қатесіз тастайтын сұраныс тудырады, ал бұл шлюз журналында қолжетімсіз серверден ажыратылмайды. Оны техникалық қызмет көрсету терезесінде ауыстырып, екі ұшын сол бір өзгерісте жаңартыңыз.

Бір рұқсат етілген сұраныспен растаңыз

Бақыланатын тіркелгіні қолданыңыз және екі жақта бір әрекетті сәйкестендіріңіз. Шлюзде сұраныстың көзделген серверге кеткенін растаңыз; NPS-те оның тіркелген клиенттен келгенін және күтілетін қосылым сұранысы саясатына сай болғанын растаңыз. Уақыттың бітуі мен бас тарту әртүрлі нәрсені білдіреді, ал екеуін де тіркелгі деректерінің мәселесі деп санау келесі сағатты жоғалтады. Содан кейін жарамды, бірақ құқығы жоқ тіркелгіні және қате құпиясөзді сынап көріңіз, өйткені бәрін қабылдайтын саясат бірінші сынақтан да өтеді.

Соңында, шлюз қайтарылған авторизациямен не істейтінін тексеріңіз. RADIUS клиентін тіркеу құрылғыға тек қатысуға рұқсат береді; ол әрбір пайда болған сессияға LAN-ға кіру құқығын бермейді.

Диагностикалық шығысты шектеулі ұстаңыз: ортақ құпиялар жоқ, пайдаланушы құпиясөздері жоқ, қолдау билетінде толық пакет жүктемелері жоқ. Егер жоба NPS сервері каталог атрибуттарын оқығанын талап етсе, бұл рұқсат клиентті тіркеуден бөлек әкімшілік тапсырма және ол болмағанда басқаша сәтсіздікке ұшырайды.