Framed-IP-Address од RADIUS за стабилна адреса на VPN клиент

RADIUS може да одговори со адреса за одреден корисник; дали тунелот навистина ја добива зависи од порталот. Токму во овој јаз меѓу вратеното и применетото пропаѓаат повеќето планови за стабилна адреса. Атрибутот во тест одговорот докажува дека серверот може да го испрати, а не дека услугата за далечински пристап го применува. Следната низа ги проверува двете половини пред адресата да заврши во правилата на огнениот ѕид.

Одлучете кој слој ја поседува адресата

Порталите за далечински пристап обично имаат локален базен, а многу можат да примат и адреса од одговорот за автентикација. Кое ќе победи зависи од платформата, протоколот и конфигурацијата на услугата, затоа прочитајте го правилото за првенство за точната верзија што се користи. Каде локалниот базен има првенство, атрибутот е само украс и клиентот сепак завршува на случајна адреса. Запишете ја одлуката, вклучително дали вратената вредност мора да биде во опсегот на базенот или може да биде надвор од него.

RFC 2865 го дефинира Framed-IP-Address како адресата што треба да се конфигурира за корисникот и не кажува ништо за подготвеноста на одреден портал да ја почитува. Документацијата на производителот е авторитет за првенството, а не дефиницијата на атрибутот.

Испратете тест барање и прочитајте го одговорот

Прво тестирајте го серверот одделно, за да не се помеша атрибут што недостига со проблем на порталот. radtest испраќа едно Access-Request и ги печати атрибутите што се враќаат.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Побарајте Framed-IP-Address во Access-Accept и потврдете дека вредноста е наменетата, а не адреса од базенот од резервно правило. Кога атрибутот недостасува, записот на корисникот или политиката за авторизација не се совпаѓаат, а прилагодувањето на порталот не може да го обезбеди она што серверот никогаш не го испратил. Повторете го барањето додека серверот работи во режим за отстранување грешки ако одговорот е тешко да се поврзе со одредено правило. Чувајте ја заедничката тајна надвор од историјата на shell и од тикетите, бидејќи горниот заменски знак не е најавувачка акредитива.

Потврдете дека порталот ја почитувал вредноста

Точниот одговор е само половина од договорот. Адресата што се појавува на интерфејсот на тунелот е набљудувањето што е важно, и таа се чита на клиентот наместо да се заклучува од конфигурацијата на порталот.

ip -4 addr show tun0

Споредете ја таа адреса со атрибутот од Access-Accept. Несовпаѓањето значи дека порталот ја игнорирал или препишал вредноста, што повторно го отвора прашањето за првенство од првиот дел. Поврзете се уште еднаш, бидејќи резервацијата што работи само од прв обид обично укажува на застарена сесија или закуп што уште го држи претходната врска. Запишете ја верзијата на порталот и протоколот до резултатот, за следното лице да може да процени дали однесувањето зависи од верзијата.

Планирајте истовременост и отповикување

Едно корисничко име на два уреда не може да одговара на една адреса освен ако порталот не ги разликува сесиите по нешто освен најавата. Одлучете дали мапирањето и припаѓа на личност, на регистриран уред или на идентитет на сертификат, и направете го тој избор експлицитен во складиштето на политики. Тестирајте втор истовремен клиент и споредете ги двете доделени адреси, бидејќи судирот овде подоцна се појавува како грешка во рутирањето. Истата грижа припаѓа и на планот за отповикување, бидејќи адресата што се доделува повторно додека старите правила на огнениот ѕид уште ја наведуваат станува грешка во авторизацијата.

Стабилното адресирање ги поедноставува правилата и дневниците, но никогаш не докажува кој го создал пакетот. Автентикацијата и авторизацијата на одредиштето уште се важни кога таа адреса подоцна преминува во друга сесија.