Kuru adresi reģistrēt kā NPS RADIUS klientu?

VPN vārtejai, kas autentifikāciju nodod Windows NPS, NPS pusē vajag vienu objektu, pirms var darboties jebkura lietotāja politika: RADIUS klienta ierakstu vārtejai. Lielākā daļa neveiksmīgo mēģinājumu reģistrē nepareizo adresi, jo svarīgā adrese ir tā, ko vārteja izmanto savā backend ceļā, nevis resursdatora nosaukums, ko darbinieki ieraksta savā VPN lietotnē. Ja šī vērtība ir nepareiza, NPS pieprasījumu klusi izmet, un klienta pusē tas izskatās kā nepareiza parole. Kura adrese pieder laukam, nosaka trīs nosacījumi, tāpēc noskaidrojiet tos pirms konsoles atvēršanas.

Reģistrējiet vārteju, nevis klēpjdatorus vai kopu

RADIUS klienta objekts pārstāv tīkla piekļuves ierīci, kas sūta autentifikācijas pieprasījumus. Tā ir VPN vārteja, nevis katrs klēpjdators, kurā darbojas klients, un nevis tuneļos izsniegto adrešu diapazons.

Šīs tuneļa adreses nekad neparādās kā RADIUS pieprasījuma avots, jo pieprasījums iet pa pašas vārtejas tīkla ceļu. Klientu kopas ieraksta reģistrēšana rada politiku, kas nekad nevarēs sakrist, kamēr īstais pieprasījums nāk no adreses, par ko NPS nekad nav dzirdējis. Tā pati neskaidrība liek cilvēkiem pievienot katra darbinieka mājas IP, kas ir gan neuzturams, gan nepareizs.

Ievadīto adresi nosaka trīs nosacījumi

Vispirms atrodiet avota adresi, ko vārteja patiešām izmanto NPS virzienā. Vārteja ar vairākām saskarnēm bieži sūta no pārvaldības vai backend saskarnes, nevis no sava publiskā VPN klausītāja. Otrkārt, pārbaudiet, vai starp tām ir NAT: ja pieprasījums tiek tulkots, NPS redz tulkoto adresi, un tā ir reģistrējamā vērtība. Treškārt, ja divas vārtejas dala lomu, katram pieprasījuma avotam vajag savu klienta ierakstu, jo viens objekts ar vienu adresi aptver tikai vienu no tiem.

Ieraksts ar diviem galiem notur pāri kārtībā. Zemāk esošā tabula ilustrācijai izmanto privātās adreses, tāpēc aizstājiet tās ar tām, ko jūsu ceļš patiešām izmanto.

Apstipriniet avotu, nevis miniet to. Viena mēģinājuma laikā vērojiet NPS vai ugunsmūra žurnālu, vai veiciet uztveršanu NPS resursdatorā ar sudo tcpdump -ni any udp port 1812. Adrese šajā uztveršanā ir vienīgā aizstāvamā atbilde klienta ierakstam. Ja vārtejai ir vairāki iespējami avoti, reģistrējiet katru ar tā paša draudzīgo nosaukumu.

Koplietotais noslēpums ir vērtība starp vārteju un NPS

Koplietotais noslēpums autentificē ierīču attiecības. Tas nav lietotāja parole, un to nekad neizplata darbiniekiem un neiegulst klientu profilos.

Izvēlieties vienu vērtību, ievadiet to abās vietās un glabājiet tur, kur atrodas vārtejas konfigurācijas dublējums. Nesakritība rada pieprasījumu, ko NPS izmet bez noderīgas kļūdas, un vārtejas žurnālā to nevar atšķirt no nesasniedzama servera. Mainiet to apkopes logā un atjauniniet abus galus tajā pašā izmaiņā.

Apstipriniet ar vienu atļautu pieprasījumu

Izmantojiet kontrolētu kontu un sasaistiet vienu mēģinājumu abās pusēs. Vārtejā apstipriniet, ka pieprasījums devās uz paredzēto serveri; NPS apstipriniet, ka tas atnāca no reģistrētā klienta un atbilda gaidītajai savienojuma pieprasījuma politikai. Noildze un noraidījums nozīmē dažādas lietas, un abu uzskatīšana par akreditācijas datu problēmu izšķērdē nākamo stundu. Pēc tam pārbaudiet derīgu, bet nepiemērotu kontu un nepareizu paroli, jo politika, kas pieņem visu, iztur arī pirmo pārbaudi.

Visbeidzot pārbaudiet, ko vārteja dara ar atgriezto autorizāciju. RADIUS klienta reģistrācija tikai ļauj ierīcei piedalīties; tā nedod katrai radušajai sesijai piekļuvi LAN.

Turiet diagnostikas izvadi ierobežotu: nekādu koplietotu noslēpumu, nekādu lietotāju paroļu, nekādu pilnu pakešu kravu atbalsta biļetenā. Ja projektam ir vajadzīgs, lai NPS serveris lasītu direktorija atribūtus, šī atļauja ir atsevišķs administratīvs uzdevums no klienta reģistrācijas, un, kad tās trūkst, tas neizdodas citādi.