Wéi eng Adress registréiert Dir als NPS RADIUS-Client?
Registréiert déi richteg Backend-Quell vum Gateway, net den ëffentlechen Hostnamen oder de Client-Pool. Gläicht de gemeinsame Geheimnis of, a bestätegt du mat enger kontrolléierter Ufro.
E VPN-Gateway, deen d'Authentifikatioun un Windows NPS iwwergëtt, brauch eng Säit op der NPS-Säit eent Objet, ier eng Benotzerpolitik ka lafen: en RADIUS-Client-Andrag fir de Gateway. Déi meescht feelgeschloen Versich registréieren déi falsch Adress, well déi wichteg Adress déi ass, déi de Gateway op sengem Backend-Wee benotzt, net den Hostnamen, deen d'Personal an hir VPN-App tippt. Ass dëse Wäert falsch, verwäert NPS d'Ufro stëll, wat vun der Clientssäit wéi e falscht Passwuert ausgesäit. Dräi Conditiounen entscheeden, wéi eng Adress an d'Feld gehéiert, also kloert se, ier Dir d'Konsole opmaacht.
Registréiert de Gateway, net d'Laptopen oder de Pool
Den RADIUS-Clientobjekt representéiert den Netzwierkzougangsapparat, deen d'Authentifikatiouns-Ufroe schéckt. Dat ass de VPN-Gateway, net all Laptop, op deem de Client leeft, an net de Beräich vun Adressen, deen an den Tunnele verdeelt gëtt.
Déi Tunneladressen erschéngen ni als Quell vun enger RADIUS-Ufro, well d'Ufro iwwer dem Gateway säin eegene Netzwierkwee geet. En Andrag fir de Client-Pool ze registréieren ergëtt eng Politik, déi ni ka passen, während déi richteg Ufro vun enger Adress ukënnt, vun där NPS nach ni héieren huet. Déiselwecht Konfusioun féiert dozou, datt d'Leit d'Heem-IP vun all Mataarbechter derbäisetzen, wat gläichzäiteg onhaltbar a falsch ass.
Dräi Conditiounen entscheeden d'Adress, déi Dir agitt
Fir d'éischt fannt d'Quelladress, déi de Gateway tatsächlech Richtung NPS benotzt. E Gateway mat méi Schnëttstellen schéckt dacks aus enger Management- oder Backend-Schnëttstell amplaz vu sengem ëffentleche VPN-Listener. Zweetens préift, ob et NAT tëschent deenen zwee gëtt: gëtt d'Ufro iwwersat, gesäit NPS déi iwwersat Adress, an dat ass de Wäert, dee registréiert muss ginn. Drëttens, wann zwee Gatewayen d'Roll deelen, brauch all Ufro-Quell en eegenen Client-Andrag, well een eenzelen Objet mat enger Adress nëmmen ee vun hinnen deckt.
En Andrag mat zwee Enner hält d'Paar riicht. Déi Tabell hei drënner benotzt privat Adressen als Illustratioun, also ersetzt se duerch déi, déi Äre Wee tatsächlech benotzt.
| At NPS | At the VPN gateway |
|---|---|
| RADIUS client address 10.20.0.10 | Authentication server 10.20.0.20 |
| Shared secret, agreed value | The same secret, same value |
| UDP 1812 permitted from 10.20.0.10 | UDP 1812 permitted toward 10.20.0.20 |
Bestätegt d'Quell, amplaz se ze roden. Kuckt beim engem Versuch den NPS- oder Firewall-Log, oder maacht eng Opnam um NPS-Host mat sudo tcpdump -ni any udp port 1812. D'Adress an där Opnam ass déi eenzeg verdedegbar Äntwert fir den Andrag. Huet de Gateway verschidde méiglech Quellen, registréiert jidderee mat sengem eegene frëndlechen Numm.
De gemeinsame Geheimnis ass e Wäert tëschent Gateway an NPS
De gemeinsame Geheimnis authentifizéiert d'Relatioun tëschent den Apparater. Et ass keen Benotzerpasswuert a gëtt ni un d'Personal verdeelt oder a Clientprofiler agebaut.
Wielt ee Wäert, gitt en op béide Plaze an, a späichert en do, wou d'Konfiguratiouns-Sécherungskopie vum Gateway läit. Eng Net-Iwwereneestëmmung produzéiert eng Ufro, déi NPS ouni nëtzlechen Feeler verwäert, an dat ass am Log vum Gateway net vun engem net erreechbaren Server z'ënnerscheeden. Rotéiert en an engem Maintenance-Fënster a maacht béid Enner an der selwechter Ännerung.
Bestätegt mat enger erlaabter Ufro
Benotzt e kontrolléierten Kont a korreléiert een eenzegen Versuch op béide Säiten. Um Gateway bestätegt, datt d'Ufro Richtung virgesinnene Server fortgaang ass; um NPS, datt se vum registréierte Client ukomm ass an der erwaarter Verbindungsufro-Politik entsprach huet. En Timeout an eng Oflehnung bedeiten ënnerschiddlech Saachen, an zwou als Problem mat den Zoulassunge ze behandelen kascht déi nächst Stonn. Test duerno e gültegen, awer net berechtegte Kont an e falscht Passwuert, well eng Politik, déi alles akzeptéiert, och den éischten Test passéiert.
Zum Schluss préift, wat de Gateway mat der zréckkritt Autorisatioun mécht. En RADIUS-Client ze registréieren erlaabt dem Apparat nëmmen deelzehuelen; et gëtt net all entstanener Sessioun Zougang zum LAN.
Halt den diagnosteschen Ausgang begrenzt: keng gemeinsam Geheimnisser, keng Benotzerpasswierder, keng komplett Paket-Nutzlaaschten an engem Support-Ticket. Wann den Design verlaangt, datt den NPS-Server Verzeechnesattributer liest, ass déi Erlaabnis eng separat administrativ Aufgab vun der Clientregistratioun, a wann se feelt, feelt se op eng aner Manéier.