RADIUS Framed-IP-Address stabilai VPN klienta adresei

RADIUS var atbildēt ar adresi konkrētam lietotājam; vai tunelis to tiešām saņem, ir atkarīgs no vārtejas. Tieši šajā plaisā starp atgriezto un piemēroto cieš vairums stabilas adreses plānu. Atribūts testa atbildē pierāda, ka serveris to var nosūtīt, nevis to, ka attālinātās piekļuves pakalpojums to piemēro. Tālākā secība pārbauda abas puses, pirms adrese nonāk ugunsmūra noteikumos.

Izlemiet, kurš slānis pārvalda adresi

Attālinātās piekļuves vārtejām parasti ir vietējais pūls, un daudzas var arī pieņemt adresi no autentifikācijas atbildes. Kurš uzvar, ir atkarīgs no platformas, protokola un pakalpojuma konfigurācijas, tāpēc lasiet prioritātes noteikumu tieši izmantotajai versijai. Tur, kur vietējam pūlam ir prioritāte, atribūts ir tikai rotājums, un klients joprojām nonāk nejaušā adresē. Pierakstiet lēmumu, tostarp to, vai atgrieztajai vērtībai jāatrodas pūla diapazonā vai tā var būt ārpus tā.

RFC 2865 definē Framed-IP-Address kā adresi, kas jākonfigurē lietotājam, un neko nesaka par konkrētas vārtejas gatavību to respektēt. Par prioritāti lemj ražotāja dokumentācija, nevis atribūta definīcija.

Nosūtiet testa pieprasījumu un izlasiet atbildi

Vispirms pārbaudiet serveri atsevišķi, lai trūkstošo atribūtu nesajauktu ar vārtejas problēmu. radtest nosūta vienu Access-Request un izdrukā atribūtus, kas atgriežas.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Meklējiet Framed-IP-Address Access-Accept atbildē un pārliecinieties, ka vērtība ir paredzētā, nevis pūla adrese no rezerves noteikuma. Ja atribūta nav, lietotāja ieraksts vai autorizācijas politika nesakrīt, un vārtejas regulēšana nevar nodrošināt to, ko serveris nekad nav nosūtījis. Atkārtojiet pieprasījumu, kamēr serveris darbojas atkļūdošanas režīmā, ja atbildi ir grūti saistīt ar konkrētu noteikumu. Turiet koplietoto noslēpumu ārpus čaulas vēstures un biļetēm, jo iepriekš minētais vietturis nav akreditācijas dati.

Pārliecinieties, ka vārteja ir piemērojusi vērtību

Pareiza atbilde ir tikai puse no līguma. Adrese, kas parādās tuneļa saskarnē, ir novērojums, kam ir nozīme, un to nolasa klientā, nevis secina no vārtejas konfigurācijas.

ip -4 addr show tun0

Salīdziniet šo adresi ar atribūtu no Access-Accept. Neatbilstība nozīmē, ka vārteja vērtību ignorēja vai pārrakstīja, kas atkal atver pirmās sadaļas prioritātes jautājumu. Pieslēdzieties vēlreiz, jo rezervācija, kas darbojas tikai pirmajā mēģinājumā, parasti norāda uz novecojušu sesiju vai nomu, ko joprojām tur iepriekšējais savienojums. Pierakstiet vārtejas versiju un protokolu blakus rezultātam, lai nākamais cilvēks varētu saprast, vai uzvedība ir atkarīga no versijas.

Plānojiet vienlaicību un atsaukšanu

Viens lietotājvārds divās ierīcēs nevar atbilst vienai adresei, ja vien vārteja nešķir sesijas ar ko citu, nevis pieteikšanos. Izlemiet, vai kartējums pieder personai, reģistrētai ierīcei vai sertifikāta identitātei, un skaidri norādiet šo izvēli politikas krātuvē. Pārbaudiet otru vienlaicīgu klientu un salīdziniet abas piešķirtās adreses, jo sadursme šeit vēlāk parādās kā maršrutēšanas kļūda. Tāda pati rūpība nepieciešama atsaukšanas plānā, jo adrese, kas tiek piešķirta no jauna, kamēr vecie ugunsmūra noteikumi uz to vēl atsaucas, pārvēršas autorizācijas kļūdā.

Stabila adresācija vienkāršo noteikumus un žurnālus, bet nekad nepierāda, kas ģenerēja paketi. Autentifikācija un galamērķa autorizācija joprojām ir svarīgas, kad šī adrese vēlāk pāriet uz citu sesiju.