Која адреса ја регистрирате како NPS RADIUS клиент?
Регистрирајте вистинскиот backend извор на портата, а не јавното име на домаќин или базенот на клиенти. Усогласете ја заедничката тајна, потоа потврдете со едно контролирано барање.
VPN портата што автентикацијата ѝ ја предава на Windows NPS бара еден објект на страната на NPS пред да може да работи која било корисничка политика: запис за RADIUS клиент за портата. Повеќето неуспешни обиди регистрираат погрешна адреса, бидејќи важна е адресата што портата ја користи на својата backend патека, а не името на домаќин што вработените го внесуваат во нивната VPN апликација. Ако таа вредност е погрешна, NPS тивко го отфрла барањето, што од страната на клиентот изгледа како погрешна лозинка. Три услови одлучуваат која адреса припаѓа во полето, затоа разјаснете ги пред да ја отворите конзолата.
Регистрирајте ја портата, не преносните компјутери или базенот
Објектот RADIUS клиент го претставува уредот за мрежен пристап што ги испраќа барањата за автентикација. Тоа е VPN портата, не секој преносен компјутер на кој работи клиентот и не опсегот на адреси што се доделуваат во тунелите.
Тие тунелски адреси никогаш не се појавуваат како извор на RADIUS барање, бидејќи барањето патува по сопствената мрежна патека на портата. Регистрирањето запис за базен клиенти создава политика што никогаш не може да се совпадне, додека вистинското барање пристигнува од адреса за која NPS никогаш не слушнал. Истата забуна ги наведува луѓето да ја додадат домашната IP на секој вработен, што е истовремено неодржливо и погрешно.
Три услови одлучуваат за адресата што ја внесувате
Прво, пронајдете ја изворната адреса што портата навистина ја користи кон NPS. Порта со повеќе интерфејси често праќа од управувачки или backend интерфејс, а не од својот јавен VPN слушач. Второ, проверете дали има NAT помеѓу нив: ако барањето се преведува, NPS ја гледа преведената адреса и тоа е вредноста што треба да се регистрира. Трето, ако две порти ја делат улогата, секој извор на барања бара свој запис за клиент, бидејќи еден објект со една адреса покрива само еден од нив.
Записот со два краја ја одржува двојката уредна. Табелата подолу користи приватни адреси за илустрација, затоа заменете ги со тие што вашата патека навистина ги користи.
| At NPS | At the VPN gateway |
|---|---|
| RADIUS client address 10.20.0.10 | Authentication server 10.20.0.20 |
| Shared secret, agreed value | The same secret, same value |
| UDP 1812 permitted from 10.20.0.10 | UDP 1812 permitted toward 10.20.0.20 |
Потврдете го изворот наместо да го погодувате. Набљудувајте го дневникот на NPS или огнениот ѕид за време на еден обид или направете фаќање на домаќинот NPS со sudo tcpdump -ni any udp port 1812. Адресата во тоа фаќање е единствениот одбранлив одговор за записот на клиентот. Ако портата има неколку можни извори, регистрирајте го секој под неговото сопствено пријателско име.
Заедничката тајна е вредност помеѓу портата и NPS
Заедничката тајна го автентицира односот на уредите. Таа не е корисничка лозинка и никогаш не се дели со вработените ниту се вградува во профилите на клиентите.
Изберете една вредност, внесете ја на двете места и чувајте ја таму каде што е резервната копија од конфигурацијата на портата. Несовпаѓањето создава барање што NPS го отфрла без корисна грешка, а тоа во дневникот на портата не се разликува од недостапен сервер. Менувајте ја во прозорец за одржување и ажурирајте ги двата краја во истата промена.
Потврдете со едно дозволено барање
Користете контролирана сметка и поврзете еден обид на двете страни. На портата потврдете дека барањето заминало кон предвидениот сервер; на NPS потврдете дека пристигнало од регистрираниот клиент и се совпаднало со очекуваната политика за барање за поврзување. Истекот на време и одбивањето значат различни работи, а третирањето на двете како проблем со акредитиви троши следниот час. Потоа тестирајте валидна, но несоодветна сметка и погрешна лозинка, бидејќи политика што прифаќа сѐ ја поминува и првата проверка.
На крајот проверете што прави портата со вратената авторизација. Регистрирањето RADIUS клиент само му дозволува на уредот да учествува; тоа не ѝ дава пристап до LAN на секоја сесија што произлегува.
Држете го дијагностичкиот излез ограничен: без заеднички тајни, без кориснички лозинки, без целосни товари на пакети во билет за поддршка. Ако проектот бара NPS серверот да чита атрибути од директориумот, таа дозвола е одделна административна задача од регистрацијата на клиентот и кога ја нема, таа не успева на друг начин.