Framed-IP-Address vu RADIUS fir eng stabil VPN-Client-Adress

RADIUS ka mat enger Adress fir e bestëmte Benotzer äntweren; ob den Tunnel se tatsächlech kritt, hänkt vum Gateway of. Genau an dëser Lück tëscht zréckginn an ëmgesat scheitere meescht Pläng fir eng stabil Adress. En Attribut an enger Testäntwert bewist, datt de Server se schécke kann, net datt de Remote-Access-Service se ëmsetzt. D'Reiefolleg hei drënner kontrolléiert béid Hälften, ier d'Adress an d'Firewallregelen erakënnt.

Entscheet, wéi eng Schicht d'Adress besëtzt

Remote-Access-Gatewayen hunn normalerweis e lokale Pool, a vill kënnen och eng Adress aus der Authentifikatiounsäntwert akzeptéieren. Wien gewënnt, hänkt vun der Plattform, dem Protokoll an der Servicekonfiguratioun of, also liest d'Prioritéitsregel fir déi genee Versioun, déi benotzt gëtt. Wou de lokale Pool Prioritéit huet, ass d'Attribut Dekoratioun an de Client landt trotzdem op enger zoufälleger Adress. Schréif d'Entscheedung op, inklusiv ob en zréckginnene Wäert bannent dem Poolberäich leie muss oder dobausse ka falen.

RFC 2865 definéiert Framed-IP-Address als d'Adress, déi fir de Benotzer konfiguréiert soll ginn, a seet näischt iwwer d'Bereetschaft vun enger bestëmmter Gateway, se ze respektéieren. D'Dokumentatioun vum Hiersteller ass d'Autoritéit iwwer d'Prioritéit, net d'Definitioun vum Attribut.

Schéck eng Testufro a liest d'Äntwert

Test de Server fir d'éischt eleng, sou datt en fehlend Attribut net mat engem Gatewayproblem verwiesselt gëtt. radtest schéckt eng Access-Request a dréckt d'Attributen, déi zréckkommen.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Sich Framed-IP-Address an der Access-Accept a bestäteg, datt de Wäert dee gewollten ass an net eng Pooladress aus enger Fallbackregel. Wann d'Attribut feelt, passen den Benotzerandrag oder d'Autorisatiounspolitik net, an d'Gatewayastellung kann net liwweren, wat de Server ni geschéckt huet. Widderhuel d'Ufro, während de Server am Debugmodus leeft, wann d'Äntwert schwéier op eng bestëmmt Regel zréckzeféieren ass. Halt de gedeelte Geheimnis aus der Shellgeschicht an aus den Ticketen, well den Platzhalter uewen ass keng Umeldungsinformatioun.

Bestäteg, datt de Gateway de Wäert respektéiert huet

Eng korrekt Äntwert ass nëmmen d'Halschent vum Kontrakt. D'Adress, déi um Tunnelinterface erschéngt, ass d'Observatioun, déi zielt, an se gëtt um Client geliest, amplaz aus der Gatewaykonfiguratioun ofgeleet ze ginn.

ip -4 addr show tun0

Vergläich déi Adress mam Attribut aus der Access-Accept. Eng Diskrepanz bedeit, datt de Gateway de Wäert ignoréiert oder ëmgeschriwwen huet, wat d'Prioritéitsfro aus dem éischten Abschnitt erëm opmécht. Verbann nach eemol, well eng Reservatioun, déi nëmmen um éischten Versuch funktionéiert, meeschtens op eng al Sitzung oder e Lease hiweist, deen nach vun der viregter Verbindung gehalen gëtt. Notéier d'Gatewayversioun an de Protokoll nieft dem Resultat, sou datt déi nächst Persoun erkenne kann, ob d'Verhalen versionsspezifesch ass.

Plang fir Konkurrenz a Widderruff

Ee Benotzernumm op zwou Apparater kann net op eng Adress gemappt ginn, ausser de Gateway ënnerscheet d'Sitzungen duerch eppes anescht wéi den Login. Entscheet, ob d'Mapping zu enger Persoun, engem ageschriwwenen Apparat oder enger Zertifikatsidentitéit gehéiert, a maacht dës Wiel am Politikspäicher explizit. Test en zweeten gläichzäitegen Client a vergläich béid zougewisesen Adressen, well eng Kollisioun hei spéider als Routingfehler erëm optrëtt. Déiselwecht Suerg gehéiert an de Widderruffplang, well eng Adress, déi nei zougewisen gëtt, während al Firewallregelen nach drop verweisen, zu engem Autorisatiounsfehler gëtt.

Stabil Adresséierung vereinfacht Regelen a Logbicher, awer se bewist ni, wien e Pak erstallt huet. Authentifikatioun an Destinatiounsautorisatioun bleiwen nach wichteg, wann déi Adress spéider op eng aner Sitzung wiesselt.