RADIUS Framed-IP-Address, skirta stabiliam VPN kliento adresui

RADIUS gali atsakyti konkrečiam naudotojui skirtu adresu; ar tunelis jį tikrai gaus, priklauso nuo šliuzo. Būtent šioje spragoje tarp grąžinto ir pritaikyto žlunga dauguma stabilių adresų planų. Atributas bandymo atsakyme įrodo, kad serveris gali jį nusiųsti, o ne kad nuotolinės prieigos paslauga jį taiko. Toliau pateikta seka patikrina abi puses, kol adresas atsiduria užkardos taisyklėse.

Nuspręskite, kuris sluoksnis valdo adresą

Nuotolinės prieigos šliuzai paprastai turi vietinį telkinį, o daugelis gali priimti adresą ir iš autentifikavimo atsakymo. Kuris laimi, priklauso nuo platformos, protokolo ir paslaugos konfigūracijos, todėl skaitykite pirmenybės taisyklę, skirtą tiksliai naudojamai versijai. Ten, kur vietinis telkinys turi pirmenybę, atributas tėra puošmena, o klientas vis tiek atsiduria atsitiktiniame adrese. Užrašykite sprendimą, įskaitant tai, ar grąžinta reikšmė turi likti telkinio diapazone, ar gali būti už jo.

RFC 2865 apibrėžia Framed-IP-Address kaip adresą, kurį reikia sukonfigūruoti naudotojui, ir nieko nesako apie tai, ar konkretus šliuzas norės jį gerbti. Dėl pirmenybės sprendžia tiekėjo dokumentacija, o ne atributo apibrėžimas.

Nusiųskite bandymo užklausą ir perskaitykite atsakymą

Pirmiausia išbandykite serverį atskirai, kad trūkstamas atributas nebūtų supainiotas su šliuzo problema. radtest nusiunčia vieną Access-Request ir išspausdina grįžtančius atributus.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Ieškokite Framed-IP-Address Access-Accept atsakyme ir patvirtinkite, kad reikšmė yra numatytoji, o ne telkinio adresas iš atsarginės taisyklės. Kai atributo nėra, naudotojo įrašas arba autorizacijos politika nesutampa, o šliuzo derinimas negali suteikti to, ko serveris niekada nesiuntė. Pakartokite užklausą, kol serveris veikia derinimo režimu, jei atsakymą sunku susieti su konkrečia taisykle. Laikykite bendrą paslaptį atokiau nuo apvalkalo istorijos ir bilietų, nes aukščiau esantis rezervuotas žymeklis nėra prisijungimo duomenys.

Patvirtinkite, kad šliuzas pritaikė reikšmę

Teisingas atsakymas yra tik pusė sutarties. Adresas, kuris atsiranda tunelio sąsajoje, yra stebėjimas, kuris svarbus, ir jis nuskaitomas kliente, o ne išvedamas iš šliuzo konfigūracijos.

ip -4 addr show tun0

Palyginkite tą adresą su atributu iš Access-Accept. Neatitikimas reiškia, kad šliuzas reikšmę ignoravo arba perrašė, o tai vėl atveria pirmojo skyriaus pirmenybės klausimą. Prisijunkite dar kartą, nes rezervacija, veikianti tik pirmu bandymu, paprastai rodo pasenusią sesiją arba nuomą, kurią vis dar laiko ankstesnis ryšys. Užrašykite šliuzo versiją ir protokolą šalia rezultato, kad kitas žmogus galėtų suprasti, ar elgsena priklauso nuo versijos.

Suplanuokite lygiagretumą ir atšaukimą

Vienas naudotojo vardas dviejuose įrenginiuose negali atitikti vieno adreso, nebent šliuzas atskiria sesijas kuo nors daugiau nei prisijungimu. Nuspręskite, ar susiejimas priklauso asmeniui, užregistruotam įrenginiui, ar sertifikato tapatybei, ir aiškiai įrašykite šį pasirinkimą politikos saugykloje. Išbandykite antrą vienalaikį klientą ir palyginkite abu priskirtus adresus, nes susidūrimas čia vėliau pasirodys kaip maršrutizavimo klaida. Toks pat rūpestis priklauso atšaukimo planui, nes adresas, perduodamas iš naujo, kol senos užkardos taisyklės vis dar jį mini, virsta autorizacijos klaida.

Stabilus adresavimas supaprastina taisykles ir žurnalus, bet niekada neįrodo, kas sukūrė paketą. Autentifikavimas ir paskirties autorizacija vis dar svarbūs, kai tas adresas vėliau pereina į kitą sesiją.