Kurį adresą registruoti kaip NPS RADIUS klientą?

VPN šliuzui, kuris autentifikavimą perduoda Windows NPS, reikia vieno objekto NPS pusėje, kol gali veikti bet kokia vartotojo taisyklė: RADIUS kliento įrašo šliuzui. Dauguma nepavykusių bandymų registruoja neteisingą adresą, nes svarbus tas adresas, kurį šliuzas naudoja savo backend kelyje, o ne pagrindinio kompiuterio vardas, kurį darbuotojai įrašo savo VPN programoje. Jei ši reikšmė neteisinga, NPS tyliai atmeta užklausą, o kliento pusėje tai atrodo kaip neteisingas slaptažodis. Kuris adresas priklauso laukui, sprendžia trys sąlygos, todėl išsiaiškinkite jas prieš atidarydami konsolę.

Registruokite šliuzą, o ne nešiojamus kompiuterius ar telkinį

RADIUS kliento objektas reiškia tinklo prieigos įrenginį, kuris siunčia autentifikavimo užklausas. Tai VPN šliuzas, o ne kiekvienas nešiojamas kompiuteris, kuriame veikia klientas, ir ne tuneliuose išduodamų adresų diapazonas.

Tie tunelių adresai niekada nepasireiškia kaip RADIUS užklausos šaltinis, nes užklausa keliauja savu šliuzo tinklo keliu. Klientų telkinio įrašo registravimas sukuria taisyklę, kuri niekada negalės sutapti, o tikroji užklausa ateina iš adreso, apie kurį NPS niekada negirdėjo. Ta pati painiava paskatina žmones pridėti kiekvieno darbuotojo namų IP, o tai ir nepalaidu, ir neteisinga.

Įvedamą adresą lemia trys sąlygos

Pirmiausia raskite šaltinio adresą, kurį šliuzas iš tikrųjų naudoja NPS kryptimi. Šliuzas su keliomis sąsajomis dažnai siunčia iš valdymo ar backend sąsajos, o ne iš savo viešo VPN klausytuvo. Antra, patikrinkite, ar tarp jų yra NAT: jei užklausa verčiama, NPS mato išverstą adresą, ir tai yra registruotina reikšmė. Trečia, jei du šliuzai dalijasi vaidmeniu, kiekvienam užklausos šaltiniui reikia savo kliento įrašo, nes vienas objektas su vienu adresu apima tik vieną iš jų.

Dviejų galų įrašas išlaiko porą tvarkingai. Toliau pateiktoje lentelėje iliustracijai naudojami privatūs adresai, todėl pakeiskite juos tais, kuriuos jūsų kelias tikrai naudoja.

Patvirtinkite šaltinį, o ne spėliokite. Vieno bandymo metu stebėkite NPS arba ugniasienės žurnalą, arba fiksuokite NPS pagrindiniame kompiuteryje su sudo tcpdump -ni any udp port 1812. To fiksavimo adresas yra vienintelis apginamas atsakymas kliento įrašui. Jei šliuzas turi kelis galimus šaltinius, registruokite kiekvieną jo paties draugišku pavadinimu.

Bendroji paslaptis yra reikšmė tarp šliuzo ir NPS

Bendroji paslaptis patvirtina įrenginių ryšį. Tai nėra vartotojo slaptažodis ir ji niekada nėra platinama darbuotojams ar įterpiama į klientų profilius.

Pasirinkite vieną reikšmę, įveskite ją abiejose vietose ir saugokite ten, kur yra šliuzo konfigūracijos atsarginė kopija. Nesutapimas sukuria užklausą, kurią NPS atmeta be naudingos klaidos, ir šliuzo žurnale to negalima atskirti nuo nepasiekiamo serverio. Keiskite ją techninės priežiūros lange ir atnaujinkite abu galus tame pačiame pakeitime.

Patvirtinkite vienu leidžiamu užklausimu

Naudokite kontroliuojamą paskyrą ir susiekite vieną bandymą abiejose pusėse. Šliuze patvirtinkite, kad užklausa išėjo numatyto serverio link; NPS patvirtinkite, kad ji atėjo iš registruoto kliento ir atitiko lauktą prisijungimo užklausos taisyklę. Skirtasis laikas ir atmetimas reiškia skirtingus dalykus, o abu traktuojant kaip prisijungimo duomenų problemą prarandama kita valanda. Tada išbandykite galiojančią, bet netinkamą paskyrą ir neteisingą slaptažodį, nes taisyklė, priimanti viską, praeina ir pirmąjį testą.

Galiausiai patikrinkite, ką šliuzas daro su grąžintu leidimu. RADIUS kliento registracija tik leidžia įrenginiui dalyvauti; ji nesuteikia kiekvienai atsiradusiai sesijai prieigos prie LAN.

Laikykite diagnostikos išvestį apribotą: jokių bendrų paslapčių, jokių vartotojų slaptažodžių, jokių pilnų paketų krovinių palaikymo biliete. Jei projektas reikalauja, kad NPS serveris skaitytų katalogo atributus, tas leidimas yra atskira administracinė užduotis nuo kliento registracijos, o kai jo nėra, ji nepavyksta kitaip.