Туруктуу VPN IP: RADIUS Framed-IP-Address же пулдагы резерв

VPN кардары үчүн туруктуу ички даректи үч жер кармай алат, жана алардын бирөө гана ага ээ болушу керек. RADIUS даректи Access-Accept ичинде кайтара алат, шлюз аккаунт үчүн статикалык дал келтирүүнү сактай алат, ал эми кардар адаптерин кол менен коюуга болот. Алгачкы экөө саясат, ал эми үчүнчүсү шлюз этибарга албай же үстүнөн жаза ала турган жергиликтүү божомол. Алгачкы экөөнүн ортосундагы тандоо чыныгы чечим, жана ал тармакка кирүү серверинин иш жүзүндө эмнени ишке ашырарына байланыштуу.

Туруктуу дарек болушу мүмкүн болгон үч жер

RADIUS дарекке жооп Framed-IP-Address алып жүргөндө жана шлюз ошол маанини сессияга колдонгондо ээ болот. Шлюз администратор аккаунтту пулдун ичиндеги статикалык дарекке байлаганда ээ болот. Кардар эч нерсеге ээ эмес, адаптери кол менен киргизилген даректи көрсөтсө да, себеби сервер ички даректи сүйлөшүү учурунда дайындайт, ал эми жергиликтүү параметр сервер эч нерсе жибербегенде гана маанилүү. Үчөө тең иштеп турган туташууда бирдей көрүнөт, ошондуктан карама-каршылыктар кеч аныкталат. Айырма кайра туташууда, экинчи түзмөктө жана саясат өзгөргөндөн кийин көрүнөт.

Эки ээ — бул бузулуучу конфигурация. RADIUS жообу 172.28.4.77 дайындап, шлюз 172.28.4.90 үчүн статикалык дал келтирүүнү кармап турса, өндүрүүчүнүн коду биринчи текшерген маани алынат, ал эми жеңилгени журнал сапсыз ыргытылат. Ошол эле аккаунт экинчи түзмөктө кайталанган дарек алат, жана симптом дайындоо карама-каршылыгы эмес, маршруттоо бузулушу катары окулат. Экинчи механизмди коштон мурун ээсин чечиңиз.

Кардар тараптагы вариантты аны жокко чыгаруу үчүн гана атоого татыктуу. Адаптердин кол менен киргизилген дареги — операциялык система сунуштай турган артыкчылык, резерв эмес, жана ал башка сессиянын ошол эле даректи алышына тоскоол боло албайт.

RADIUS жообу эмнени убада кыла алат жана эмнени кыла албайт

RFC 2865Framed-IP-Address деп колдонуучу үчүн конфигурациялануучу IPv4 дарегин аныктайт, жана ал Access-Accept ичинде болот. Access-Request ичиндеги ошол эле атрибут — сервер этибарга албай турган белги гана, жана бул кардар же шлюз артыкчылыктуу даректи сунуштаганда маанилүү. Протоколдо шлюзди жоопту сыйлоого мажбурлаган эч нерсе жок, себеби аны сессияга колдогон компонент — тармакка кирүү сервери.

Колдоо — бул продукт маселеси, протокол маселеси эмес. Айрым шлюздер кадрланган даректерди демейки боюнча колдонот, башкаларына аны жасоо үчүн топ деңгээлиндеги өчүргүчтү күйгүзүү керек, дагы башкалары атрибутту кабыл алып, аны алыскы кирүү сессиялары үчүн эч качан колдонбойт. Акыркы учур коркунучтуу, себеби эсепке алуу жазуусу жоопту көрсөтүшү мүмкүн, ал эми кардар пул дарегин алат. Жүргүзүп жаткан так шлюз моделиңизде жана микропрограммаңызда жүрүм-турумду ырастаңыз, боордош продукттун документтеринде эмес.

Шлюз этибарга албаган жооп эч качан жиберилбеген жоопко так окшош. Access-Accept менен сессия дарегин катар окуу — эки учурду ажыратуунун жалгыз жолу.

Даректи өзүңүз маршруттап жаткан пулдун ичинде резервдеңиз

Туруктуу даректи шлюз мурунтан маршруттаган жана брандмауэр мурунтан ишенген пул ички тармагынан тандаңыз. Ошол диапазондон тышкаркы дарек саясат өзгөртүүсүн маршруттоо долбооруна айландырат, жана VPN көтөрүлөт, бирок анын артында эч нерсе жооп бере албайт. Эгер дарек боюнча кирүү эрежелери болсо, ошол эле өзгөртүүдө туруктуу даректи аларга кошуңуз.

Экинчи бир убакыттагы сессия эмне кылышы керектигин чечиңиз. Бир даректи эки жолу дайындоо түзмөктү башкаруу эмес, жана келип чыккан кагылышуу эки сессия үчүн тез-тез үзүлгөн туташуу катары көрүнөт. Же ар бир түзмөккө өзүнчө инсандык берүү, же өзүнчө дайындоолор, же колдоого алынган текшерүү менен бир убакыттуулукту мажбурлаңыз, мисалы Simultaneous-Use, эски сессия бүткөнгө чейин кардар эч качан кайра туташпайт деп үмүт кылуунун ордуна.

Кайтаруу маршруттары дайындоо сыяктуу эле көңүл бурууга татыктуу. Шлюзге пулга маршрут керек, ички маршрутизаторлорго шлюзге кайтуу маршруту керек, жана туруктуу дарек экөөнү тең мураска алат. Бир кардар иштеп, калгандарынын баары ийгиликсиз болсо, адатта пул маршруту бар, бирок резервделген даректин хост маршруту жок дегенди билдирет.

Резервге ишенүүдөн мурун жоопту текшериңиз

AAA тарабын жана сессия тарабын өзүнчө текшериңиз, себеби алар ар кандай себептерден ийгиликсиз болот. Жергиликтүү radtest шлюзди аралаштырбастан сервердин аккаунт үчүн эмнени кайтарарын көрсөтөт, ал эми колдонуучулар файлындагы жазуу сервер эмнеге дал келиши керектигин көрсөтөт. Андан кийин кардарды кайра туташтырып, алган даректи жооптогу атрибут менен салыштырыңыз.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Атрибутсуз Access-Accept сервер жазууга дал келбегенин же атрибут ошол колдонуучуга колдонулбаганын билдирет. Атрибуту бар Access-Accept жана дагы эле пул дарегин алган кардар шлюз аны этибарга албаганын билдирет. Access-Reject сизди каттоо маалыматтарына же топ саясатына кайтарат, жана бул натыйжалардын эч бири кардар адаптерин оңдоо менен чечилбеши керек.

Текшерүүнү кайра туташкандан кийин жана башка түзмөктөн экинчи киргенден кийин кайталаңыз. Бир гана биринчи сессияга туруштук берген резерв — боло турган пул кагылышуусу, жана аны азыр табуу аудит учурунда табуудан арзан.

Бир ээни тандап, аны жазыңыз

Эгер шлюз кадрланган даректерди ишенимдүү колдонсо, дайындоого RADIUS ээ болсун, ал эми ошол эле аккаунт үчүн каалаган статикалык дал келтирүүнү алып салыңыз. Эгер андай болбосо, ага шлюз ээ болсун жана жооптон атрибутту алып салыңыз, ошондо эки булак карама-каршы келе албайт. Экөөнү тең ар бири дээрлик иштейт деп кармоо келечектеги сессиянын туура эмес дарек менен жана ачык себепсиз болушун кепилдейт.

Тандалган ээни, резервделген даректи жана ал кайдан келген пулду аккаунт жазуусуна жазыңыз. Кийинки түзмөк кошкон адам экөөнүн кайсынысын өзгөртүүдөн мурун даректин AAA саясатыбы же шлюз дал келтирүүсүбү экенин көрө алат.