RRAS DHCP: нова адреса или само опции за конфигурација?

Да читате DHCPACK во снимка како доказ дека VPN клиентот ја добил адресата од DHCP е грешка. Обично тоа докажува само дека на некоја DHCP порака е одговорено. Windows RRAS може да дели адреси на сесијата од својот статичен базен, додека DHCP и понатаму доставува опции до поврзаниот клиент. Типот на барањето ви кажува кое од двете задачи се одвивало.

Две задачи што делат еден тип на порака

DHCP прави две одделни работи и тие делат типови на пораки. Едната е доделување адреса и закуп. Другата е доставување конфигурација до домаќин што веќе има адреса, што RFC 2131 го нарекува DHCPINFORM. Одговорот во вториот случај носи опции и никакво време на закуп.

Значи ACK е доказ за одговор, а не доказ за доделување. Пораката пред него одлучува кое прашање е поставено. Прво прочитајте го редот на барањето и остатокот од трагата обично се објаснува сам.

Од каде RRAS ја добива адресата

RRAS ја поседува одлуката за VPN адресата преку својот конфигуриран метод на доделување IPv4: или DHCP сервер или статичен базен на адреси. Кога базенот е статичен, базенот е доделувачот и резервацијата на одделен DHCP сервер нема збор во таа сесија. Двата механизми можат да постојат на иста мрежа без ниту еден да го контролира другиот.

Get-Command -Module RemoteAccess *IPAddress*

Најдете го активниот метод на доделување пред да ја барате причината во адресата. Ако е статичен базен, опсегот на DHCP е погрешното место за гледање. Командата погоре ги наведува cmdlet-ите достапни во верзијата што ја извршувате, и тоа е доволно за да ја најдете поставката.

Што може и што не може да докаже корисничката класа

Корисничката класа на DHCP е низа што ја праќа клиентот, а не автентифицирано членство во група. Дури и кога клиент праќа една и серверот применува политика врз неа, ознаката докажува само дека низата пристигнала. RFC 3004 јасно вели дека опцијата не го автентифицира правото на класата.

Не очекувајте корисничко име за VPN, идентификатор на безбедносна група или Ethernet адресата на преносниот сметач да се појават во тоа барање во употреблива форма. Тоа се факти за автентикација и директориум, а барањето DHCP не носи ниту едно од двете. Ако барањето е да се разликуваат овластени луѓе, спроведете го во политиката на VPN каде идентитетот навистина постои. Токму тоа разделување ги држи двата система независни.

Споредете ги доказите, а не ACK

Изградете синџир на докази наместо да читате еден пакет. Запишете ја адресата што ја доби сесијата, типот и полињата на барањето, опциите што ги врати серверот и потоа вистинската конфигурација на клиентот. Секоја алка одговара на друго прашање, а алката што недостасува е местото каде обично лежи вистинската дефект.

Get-DhcpServerv4OptionValue -ScopeId 10.90.0.0

Ако адресата дошла од базенот на RRAS, резервацијата на DHCP не објаснува ништо. Ако опциите пристигнале, но клиентот ги игнорирал, серверот ја завршил својата работа и следната станица е конфигурацијата на клиентот. Споредете ги тие два исхода експлицитно и ACK престанува да биде двосмислен. Две траги, по една од секој метод на доделување, го решаваат спорот побрзо од која било документација.