RRAS DHCP: naujas adresas ar tik konfigūracijos parinktys?

Skaityti DHCPACK įraše kaip įrodymą, kad VPN klientas gavo adresą iš DHCP, yra klaida. Paprastai tai įrodo tik tai, kad į kai kurį DHCP pranešimą buvo atsakyta. Windows RRAS gali dalyti sesijos adresus iš savo statinio telkinio, o DHCP vis dar tiekia parinktis prisijungusiam klientui. Užklausos tipas pasako, kuri iš dviejų užduočių vyko.

Dvi užduotys, kurios dalijasi pranešimo tipu

DHCP atlieka du atskirus dalykus, ir jie dalijasi pranešimų tipais. Vienas yra adreso ir nuomos priskyrimas. Kitas yra konfigūracijos pristatymas mazgui, kuris jau turi adresą, ką RFC 2131 vadina DHCPINFORM. Atsakyme antruoju atveju yra parinktys ir nėra jokio nuomos laiko.

Taigi ACK yra atsakymo įrodymas, o ne priskyrimo įrodymas. Prieš jį buvęs pranešimas nusprendžia, koks klausimas buvo užduotas. Pirmiausia perskaitykite užklausos eilutę, o likusi įrašo dalis paprastai paaiškina pati save.

Iš kur RRAS gauna adresą

RRAS valdo VPN adreso sprendimą per savo sukonfigūruotą IPv4 priskyrimo metodą: arba DHCP serverį, arba statinį adresų telkinį. Kai telkinys statinis, telkinys yra skirstytojas, o rezervacija atskirame DHCP serveryje toje sesijoje nieko nereiškia. Abu mechanizmai gali egzistuoti tame pačiame tinkle, nė vienas nekontroliuodamas kito.

Get-Command -Module RemoteAccess *IPAddress*

Prieš ieškodami adreso problemos, išsiaiškinkite galiojantį priskyrimo metodą. Jei tai statinis telkinys, DHCP sritis yra ne ta vieta, kur reikia žiūrėti. Aukščiau pateikta komanda išvardija jūsų versijoje prieinamus cmdlet, ir to pakanka nustatymui rasti.

Ką naudotojo klasė gali įrodyti, o ko ne

DHCP naudotojo klasė yra eilutė, kurią siunčia klientas, o ne autentifikuota grupės narystė. Net kai klientas ją siunčia ir serveris pagal ją taiko politiką, žymė įrodo tik tai, kad eilutė atėjo. RFC 3004 aiškiai sako, kad ši parinktis neautentifikuoja teisės į klasę.

Nesitikėkite, kad VPN naudotojo vardas, saugumo grupės identifikatorius ar nešiojamojo kompiuterio Ethernet adresas toje užklausoje pasirodys tinkama naudoti forma. Tai autentifikavimo ir katalogo faktai, o DHCP užklausa neneša nė vieno jų. Jei reikalavimas yra atskirti įgaliotus žmones, įgyvendinkite tai VPN politikoje, kur tapatybė tikrai egzistuoja. Būtent šis atskyrimas išlaiko dvi sistemas nepriklausomas.

Palyginkite įrodymus, o ne ACK

Sukurkite įrodymų grandinę, o ne skaitykite vieną paketą. Užrašykite adresą, kurį gavo sesija, užklausos pranešimo tipą ir laukus, serverio grąžintas parinktis ir po to faktinę kliento konfigūraciją. Kiekviena grandis atsako į kitą klausimą, o trūkstama grandis paprastai yra ten, kur slypi tikrasis gedimas.

Get-DhcpServerv4OptionValue -ScopeId 10.90.0.0

Jei adresas atėjo iš RRAS telkinio, DHCP rezervacija nieko nepaaiškina. Jei parinktys atėjo, bet klientas jų nepaisė, serveris atliko savo darbą, o kita stotelė yra kliento konfigūracija. Aiškiai palyginkite šiuos du rezultatus ir ACK nebebus dviprasmis. Du įrašai, po vieną iš kiekvieno priskyrimo metodo, ginčą išsprendžia greičiau nei bet kokia dokumentacija.