Fixe VPN-IP: Framed-IP-Address am RADIUS oder eng Reservatioun am Pool

Dräi Plazen kënnen eng fix intern Adress fir e VPN-Client halen, a just eng dovun soll se besëtzen. RADIUS kann d'Adress an engem Access-Accept zréckschécken, de Gateway kann eng statesch Mapping fir de Kont halen, an den Adapter vum Client kann vun Hand agestallt ginn. Déi éischt zwee sinn Politik an déi drëtt ass eng lokal Vermutung, déi de Gateway fräi ass z'ignoréieren oder z'iwwerschreiwen. D'Wiel tëscht den éischten zwee ass déi richteg Entscheedung, an et hänkt dovun of, wat den Netzaccess-Server tatsächlech ëmsetzt.

Dräi Plazen, wou eng fix Adress ka sinn

RADIUS besëtzt d'Adress, wann d'Äntwert Framed-IP-Address dréit an de Gateway dee Wäert op d'Sessioun uwendt. De Gateway besëtzt se, wann en Administrateur de Kont op eng statesch Adress am Pool mappt. De Client besëtzt näischt, och wann säin Adapter eng manuell Adress weist, well de Server déi intern Adress beim Verhandele vergëtt an eng lokal Astellung nëmme wichtege gëtt, wann de Server keng schéckt. All dräi gesinn op enger funktionéierender Verbindung gläich aus, dofir kommen Konflikter spéit eraus. Den Ënnerscheed weist sech beim Nee-Verbannen, op engem zweete Gerät an no enger Politikännerung.

Zwee Besëtzer ass déi Konfiguratioun, déi brécht. Eng RADIUS-Äntwert, déi 172.28.4.77 vergëtt, wärend de Gateway eng statesch Mapping fir 172.28.4.90 hält, gëtt dee Wäert, deen de Code vum Hiersteller als éischten iwwerpréift, an de Verléierer gëtt ouni Log-Linn verkaaft. Dee selwechte Kont op engem zweete Gerät kritt duerno eng duebel Adress, an de Symptom liest sech wéi e Routing-Fehler anstatt wéi e Vergabekonflikt. Entscheet de Besëtzer, ier Dir den zweete Mechanismus derbäi setzt.

D'Optioun op der Client-Säit ass nëmme wäert ze nennen, fir se auszeschléissen. Eng manuell Adapteradress ass eng Preferenz, déi de Betribssystem ka presentéieren, keng Reservatioun, an se kann net verhënneren, datt eng aner Sessioun déiselwecht Adress kritt.

Wat d'RADIUS-Äntwert verspriechen kann a wat net

RFC 2865definéiert Framed-IP-Address als déi IPv4-Adress, déi fir de Benotzer konfiguréiert muss ginn, a se gehéiert an Access-Accept. Dat selwecht Attribut an Access-Request ass just en Hiwäis, dee de Server ignoréiere kann, wat zielt, wann e Client oder Gateway eng bevorzugt Adress ubitt. Näischt am Protokoll zwingt de Gateway, d'Äntwert ze respektéieren, well den Netzaccess-Server déi Komponent ass, déi se op d'Sessioun uwent.

Ënnerstëtzung ass eng Produktfro an net eng Protokollsfro. E puer Gateways uwenden ëmraamt Adressen als Standard, anerer brauchen e Schalter op Gruppenniveau, ier se et maachen, an nach anerer akzeptéieren d'Attribut a benotzen et ni fir Fernzougriffssessiounen. Dee leschte Fall ass dee geféierlechen, well den Accounting-Record d'Äntwert weise kann, wärend de Client eng Pooladress kritt. Bestätegt d'Verhalen um geneeë Gatewaymodell an der Firmware, déi Dir bedreift, net an der Dokumentatioun vun engem Schwësterprodukt.

Eng Äntwert, déi de Gateway ignoréiert, gesäit genee esou aus wéi eng Äntwert, déi ni geschéckt gouf. Den Access-Accept an d'Sessiounsadress niewenteneen ze liesen ass den eenzege Wee, déi zwou Fäll z'entscheeden.

Reservéiert d'Adress am Pool, deen Dir schonn routeet

Wielt d'fix Adress aus dem Pool-Subnetz, deen de Gateway schonn routeet an deem d'Firewall schonn vertraut. Eng Adress ausserhalb deem Beräich mécht aus enger Politikännerung e Routingprojet, an de VPN kënnt erop, während hannendru näischt äntweren kann. Wann et Zougriffsregelen pro Adress gëtt, setzt d'fix Adress an der selwechter Ännerung dobäi.

Entscheet, wat eng zweet gläichzäiteg Sessioun maache soll. Eng Adress zweemol verginn ass keng Geräteverwaltung, an de resultéierende Kollisioun erschéngt als ënnerbrache Verbindung fir béid Sessiounen. Entweder gitt Dir ënnerschiddlech Identitéiten pro Gerät, ënnerschiddlech Vergaaben, oder erzwéngt d'Gläichzäitegkeet mat enger ënnerstëtzter Prüfung, wéi zum Beispill Simultaneous-Use, amplaz ze hoffen, de Client verbënnt sech ni erëm, ier déi al Sessioun ofleeft.

Zréckrouten verdéngen déiselwecht Opmierksamkeet wéi d'Vergaab. De Gateway brauch eng Route an de Pool, déi intern Routeren brauchen eng Route zréck an de Gateway, an d'fix Adress erft béid. Ee Client, dee funktionéiert, während all déi aner versoen, heescht normalerweis, datt d'Poolroute existéiert, awer d'Hostroute fir déi reservéiert Adress net.

Test d'Äntwert, ier Dir der Reservatioun vertraut

Test d'AAA-Säit an d'Sessiounssäit getrennt, well si aus verschiddene Grënn versoen. Eng lokal radtest weist, wat de Server fir de Kont zréckgëtt, ouni de Gateway anzebezéien, an den Andrag an der Benotzerdatei weist, mat wat de Server soll iwwereneestëmmen. Da verbënnt de Client erëm a vergläicht d'Adress, déi hie krut, mat dem Attribut an der Äntwert.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

En Access-Accept ouni d'Attribut heescht, datt de Server den Andrag net fonnt huet oder d'Attribut net op dee Benotzer ugewannt gouf. En Access-Accept mat dem Attribut an e Client, deen nach ëmmer eng Pooladress kritt, heescht, datt de Gateway se ignoréiert huet. En Access-Reject schéckt Iech zréck op d'Authentifikatiounsdaten oder d'Gruppepolitik, an keen vun dëse Resultater sollt duerch d'Ännere vum Clientadapter debugt ginn.

Widderhëlt d'Prüfung no engem Nee-Verbannen an no engem zweete Login vun engem anere Gerät. Eng Reservatioun, déi nëmme fir déi éischt Sessioun hält, ass e Poolkonflikt, deen drop waart ze geschéien, an et ass méi bëlleg, en elo ze fannen wéi während engem Audit.

Wielt ee Besëtzer a schreift en op

Wann de Gateway ëmraamt Adressen zouverlässeg uwent, loosst den RADIUS d'Vergaab besëtzen a läscht all statesch Mapping fir dee selwechte Kont. Wann net, loosst de Gateway se besëtzen a läscht d'Attribut aus der Äntwert, soudatt déi zwou Quellen net kënnen auserneegoe. Béid ze halen, well jiddweree bal funktionéiert, garantéiert eng zukünfteg Sessioun mat der falscher Adress an ouni offensichtlech Ursaach.

Schreift de gewielte Besëtzer, déi reservéiert Adress an de Pool, vun wou se kënnt, an den Kontrecord. Déi nächst Persoun, déi e Gerät derbäi setzt, kann dann gesinn, ob d'Adress eng AAA-Politik oder eng Gateway-Mapping ass, ier se eng vun deenen zwou ännert.