Фиксна VPN IP: Framed-IP-Address во RADIUS или резервација во базенот

Три места можат да држат фиксна внатрешна адреса за VPN клиент, и само едно од нив треба да ја поседува. RADIUS може да ја врати адресата во Access-Accept, портата може да држи статично мапирање за сметката, а клиентскиот адаптер може да се постави рачно. Првите две се политика, а третото е локална претпоставка што портата е слободна да ја игнорира или презапише. Изборот меѓу првите две е вистинската одлука, и зависи од тоа што серверот за мрежен пристап всушност го имплементира.

Три места каде може да живее фиксна адреса

RADIUS ја поседува адресата кога одговорот носи Framed-IP-Address и портата ја применува таа вредност на сесијата. Портата ја поседува кога администратор ја мапира сметката на статична адреса во базенот. Клиентот не поседува ништо, дури и кога неговиот адаптер покажува рачна адреса, бидејќи серверот ја доделува внатрешната адреса за време на преговорите, а локалната поставка е важна само кога серверот не испраќа ништо. Сите три изгледаат исто на работна врска, и затоа конфликтите излегуваат доцна. Разликата се гледа при повторно поврзување, на втор уред и по промена на политиката.

Два сопственика е конфигурацијата што се крши. Одговор на RADIUS што доделува 172.28.4.77 додека портата држи статично мапирање за 172.28.4.90 дава онаа вредност што кодот на производителот ја проверува прва, а губитникот се отфрла без ред во дневникот. Истата сметка на втор уред тогаш добива дупликат адреса, и симптомот се чита како дефект во рутирањето, а не како конфликт при доделување. Решете го сопственикот пред да го додадете вториот механизам.

Клиентската опција вреди да се именува само за да се исклучи. Рачната адреса на адаптерот е преференца што оперативниот систем може да ја прикаже, не резервација, и не може да спречи друга сесија да ја добие истата адреса.

Што може и што не може да вети одговорот на RADIUS

RFC 2865го дефинира Framed-IP-Address како IPv4 адреса што треба да се конфигурира за корисникот, и таа припаѓа во Access-Accept. Истиот атрибут во Access-Request е само навестување што серверот може да го игнорира, што е важно кога клиент или порта нуди преферирана адреса. Ништо во протоколот не ја принудува портата да го почитува одговорот, бидејќи серверот за мрежен пристап е компонентата што го применува на сесијата.

Поддршката е прашање на производ, а не на протокол. Некои порти применуваат рамкирани адреси по стандард, други бараат вклучен прекинувач на ниво на група, а трети го прифаќаат атрибутот и никогаш не го користат за сесии за далечински пристап. Последниот случај е опасен, бидејќи сметководствениот запис може да го покажува одговорот додека клиентот добива адреса од базенот. Потврдете го однесувањето на конкретниот модел на порта и фирмверот што го вршите, не во документацијата за братски производ.

Одговорот што портата го игнорира изгледа точно како одговор што никогаш не бил испратен. Читањето на Access-Accept и адресата на сесијата едно до друго е единствениот начин да се разделат двата случаи.

Резервирајте ја адресата во базенот што веќе го рутирате

Изберете ја фиксната адреса од подмрежата на базенот што портата веќе ја рутира и во која огнениот ѕид веќе има доверба. Адреса надвор од тој опсег ја претвора промената на политиката во проект за рутирање, и VPN-от ќе се крене додека ништо зад него не може да одговори. Ако постојат правила за пристап по адреса, додајте ја фиксната адреса во нив во истата промена.

Одлучете што треба да прави втората истовремена сесија. Доделувањето на една адреса двапати не е управување со уреди, а добиениот судир се појавува како повремена поврзаност за двете сесии. Или издавајте различни идентитети по уред, или различни доделувања, или наметнете истовременост со поддржана проверка, како на пример Simultaneous-Use, наместо да се надевате дека клиентот никогаш нема повторно да се поврзе пред старата сесија да истече.

Повратните рути заслужуваат исто внимание како доделувањето. На портата ѝ треба рута до базенот, на внатрешните рутери им треба рута назад до портата, и фиксната адреса ги наследува двете. Еден клиент што работи додека сите други не успеваат обично значи дека рутата до базенот постои, но рутата до домаќинот за резервираната адреса не.

Тестирајте го одговорот пред да ѝ верувате на резервацијата

Тестирајте ја страната на AAA и страната на сесијата одделно, бидејќи тие не успеваат од различни причини. Локален radtest покажува што враќа серверот за сметката без да ја вклучи портата, а записот во датотеката со корисници покажува со што серверот треба да се совпадне. Потоа поврзете го клиентот повторно и споредете ја добиената адреса со атрибутот во одговорот.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Access-Accept без атрибутот значи дека серверот не го совпаднал записот или атрибутот не бил применет на тој корисник. Access-Accept со атрибутот и клиент што сѐ уште добива адреса од базенот значи дека портата го игнорирала. Access-Reject ве враќа на акредитивите или на групната политика, и ниту еден од овие исходи не треба да се отстранува со уредување на клиентскиот адаптер.

Повторете ја проверката по повторно поврзување и по второ најавување од друг уред. Резервација што се држи само за првата сесија е конфликт во базенот што чека да се случи, и поевтино е да се најде сега отколку за време на ревизија.

Изберете еден сопственик и запишете го

Ако портата рамкираните адреси ги применува сигурно, оставете RADIUS да го поседува доделувањето и отстранете го секое статично мапирање за истата сметка. Ако не, оставете портата да го поседува и отстранете го атрибутот од одговорот, за да не можат двата извора да се разидуваат. Држењето на двете затоа што секое речиси работи гарантира идна сесија со погрешна адреса и без очигледна причина.

Запишете го избраниот сопственик, резервираната адреса и базенот од кој доаѓа во записот на сметката. Следниот човек што додава уред ќе може да види дали адресата е политика на AAA или мапирање на портата пред да промени било кое од двете.