NPS RADIUS ക്ലയന്റായി നിങ്ങൾ ഏത് വിലാസമാണ് രജിസ്റ്റർ ചെയ്യുന്നത്?
ഗേറ്റ്‍വേയുടെ യഥാർത്ഥ ബാക്കെൻഡ് ഉറവിടം രജിസ്റ്റർ ചെയ്യുക, പൊതു ഹോസ്റ്റ്നെയിമോ ക്ലയന്റ് പൂളോ അല്ല. പങ്കിട്ട രഹസ്യം ഒത്തുനോക്കി, പിന്നീട് ഒരു നിയന്ത്രിത അഭ്യർത്ഥനയിലൂടെ സ്ഥിരീകരിക്കുക.
Windows NPS-ന് ഒപ്പം ഓതന്റിക്കേഷൻ കൈമാറുന്ന VPN ഗേറ്റ്‍വേയ്ക്ക് ഏതെങ്കിലും ഉപയോക്തൃ നയം പ്രവർത്തിക്കുന്നതിന് മുമ്പ് NPS വശത്ത് ഒരു ഓബ്ജക്റ്റ് ആവശ്യമാണ്: ഗേറ്റ്‍വേയ്ക്കുള്ള RADIUS ക്ലയന്റ് എൻട്രി. പരാജയപ്പെട്ട ശ്രമങ്ങളിൽ ഭൂരിഭാഗവും തെറ്റായ വിലാസമാണ് രജിസ്റ്റർ ചെയ്യുന്നത്, കാരണം പ്രധാനമായ വിലാസം ഗേറ്റ്‍വേ തന്റെ ബാക്കെൻഡ് പാതയിൽ ഉപയോഗിക്കുന്നതാണ്, ജീവനക്കാർ അവരുടെ VPN ആപ്പിൽ ടൈപ്പ് ചെയ്യുന്ന ഹോസ്റ്റ്നെയിമല്ല. ഈ മൂല്യം തെറ്റായാൽ NPS അഭ്യർത്ഥന നിശ്ശബ്ദമായി ഒഴിവാക്കുന്നു, അത് ക്ലയന്റ് വശത്തുനിന്ന് തെറ്റായ പാസ്‌വേഡ് പോലെ തോന്നുന്നു. ഏത് വിലാസം ഫീൽഡിൽ വരണം എന്നത് മൂന്ന് വ്യവസ്ഥകൾ തീരുമാനിക്കുന്നു, അതിനാൽ കൺസോൾ തുറക്കുന്നതിന് മുമ്പ് അവ വ്യക്തമാക്കുക.
ഗേറ്റ്‍വേ രജിസ്റ്റർ ചെയ്യുക, ലാപ്‌ടോപ്പുകളോ പൂളോ അല്ല
RADIUS ക്ലയന്റ് ഓബ്ജക്റ്റ് ഓതന്റിക്കേഷൻ അഭ്യർത്ഥനകൾ അയക്കുന്ന നെറ്റ്‌വർക്ക് ആക്സസ് ഉപകരണത്തെ പ്രതിനിധീകരിക്കുന്നു. അത് VPN ഗേറ്റ്‍വേയാണ്, ക്ലയന്റ് പ്രവർത്തിപ്പിക്കുന്ന ഓരോ ലാപ്‌ടോപ്പുമല്ല, ടണലുകൾക്കുള്ളിൽ നൽകുന്ന വിലാസ ശ്രേണിയുമല്ല.
ആ ടണൽ വിലാസങ്ങൾ ഒരിക്കലും RADIUS അഭ്യർത്ഥനയുടെ ഉറവിടമായി പ്രത്യക്ഷപ്പെടുന്നില്ല, കാരണം അഭ്യർത്ഥന ഗേറ്റ്‍വേയുടെ സ്വന്തം നെറ്റ്‌വർക്ക് പാതയിലൂടെ സഞ്ചരിക്കുന്നു. ക്ലയന്റ് പൂൾ എൻട്രി രജിസ്റ്റർ ചെയ്യുന്നത് ഒരിക്കലും ഒത്തുപോകാൻ കഴിയാത്ത നയം സൃഷ്ടിക്കുന്നു, യഥാർത്ഥ അഭ്യർത്ഥന NPS ഒരിക്കലും കേട്ടിട്ടില്ലാത്ത ഒരു വിലാസത്തിൽ നിന്ന് വരുമ്പോൾ. അതേ ആശയക്കുഴപ്പം ജനങ്ങളെ ഓരോ ജീവനക്കാരന്റെയും വീട്ടിലെ IP ചേർക്കാൻ നയിക്കുന്നു, അത് ഒരേസമയം പരിപാലിക്കാനാവാത്തതും തെറ്റുമാണ്.
നിങ്ങൾ നൽകുന്ന വിലാസം മൂന്ന് വ്യവസ്ഥകൾ തീരുമാനിക്കുന്നു
ആദ്യം, ഗേറ്റ്‍വേ NPS-ന്റെ നേർക്ക് യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന ഉറവിട വിലാസം കണ്ടെത്തുക. ഒന്നിലധികം ഇന്റർഫേസുകളുള്ള ഗേറ്റ്‍വേ പലപ്പോഴും തന്റെ പൊതു VPN ശ്രോതാവിൽ നിന്നല്ല, മാനേജ്‌മെന്റ് അല്ലെങ്കിൽ ബാക്കെൻഡ് ഇന്റർഫേസിൽ നിന്നാണ് അയക്കുന്നത്. രണ്ടാമത്, ഇവയ്ക്കിടയിൽ NAT ഉണ്ടോ എന്ന് പരിശോധിക്കുക: അഭ്യർത്ഥന വിവർത്തനം ചെയ്യപ്പെട്ടാൽ NPS വിവർത്തനം ചെയ്ത വിലാസം കാണുന്നു, അതാണ് രജിസ്റ്റർ ചെയ്യേണ്ട മൂല്യം. മൂന്നാമത്, രണ്ട് ഗേറ്റ്‍വേകൾ റോൾ പങ്കിടുന്നുവെങ്കിൽ ഓരോ അഭ്യർത്ഥന ഉറവിടത്തിനും സ്വന്തം ക്ലയന്റ് എൻട്രി വേണം, ഒരു വിലാസമുള്ള ഒരു ഓബ്ജക്റ്റ് അവയിൽ ഒന്നിനെ മാത്രമേ ഉൾക്കൊള്ളുന്നുള്ളൂ.
രണ്ട് അറ്റങ്ങളുള്ള രേഖ ജോടി നേരെ നിർത്തുന്നു. താഴെയുള്ള പട്ടിക ഉദാഹരണത്തിനായി സ്വകാര്യ വിലാസങ്ങൾ ഉപയോഗിക്കുന്നു, അതിനാൽ നിങ്ങളുടെ പാത യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്നവ കൊണ്ട് അവ മാറ്റുക.
| At NPS | At the VPN gateway |
|---|---|
| RADIUS client address 10.20.0.10 | Authentication server 10.20.0.20 |
| Shared secret, agreed value | The same secret, same value |
| UDP 1812 permitted from 10.20.0.10 | UDP 1812 permitted toward 10.20.0.20 |
ഊഹിക്കുന്നതിന് പകരം ഉറവിടം സ്ഥിരീകരിക്കുക. ഒരു ശ്രമത്തിനിടയിൽ NPS അല്ലെങ്കിൽ ഫയർവാൾ ലോഗ് നോക്കുക, അല്ലെങ്കിൽ NPS ഹോസ്റ്റിൽ sudo tcpdump -ni any udp port 1812 ഉപയോഗിച്ച് ക്യാപ്ചർ ചെയ്യുക. ആ ക്യാപ്ചറിലെ വിലാസമാണ് ക്ലയന്റ് എൻട്രിക്ക് ഏക സമർത്ഥനീയമായ ഉത്തരം. ഗേറ്റ്‍വേയ്ക്ക് നിരവധി സാധ്യമായ ഉറവിടങ്ങളുണ്ടെങ്കിൽ ഓരോന്നും അതിന്റേതായ സൗഹൃദ നാമത്തിൽ രജിസ്റ്റർ ചെയ്യുക.
പങ്കിട്ട രഹസ്യം ഗേറ്റ്‍വേയ്ക്കും NPS-നും ഇടയിലുള്ള മൂല്യമാണ്
പങ്കിട്ട രഹസ്യം ഉപകരണങ്ങളുടെ ബന്ധം ഓതന്റിക്കേറ്റ് ചെയ്യുന്നു. അത് ഉപയോക്തൃ പാസ്‌വേഡല്ല, ഒരിക്കലും ജീവനക്കാർക്ക് വിതരണം ചെയ്യപ്പെടുന്നില്ല, ക്ലയന്റ് പ്രൊഫൈലുകളിൽ ഉൾപ്പെടുത്തുന്നുമില്ല.
ഒരു മൂല്യം തിരഞ്ഞെടുക്കുക, അത് രണ്ട് സ്ഥലങ്ങളിലും നൽകുക, ഗേറ്റ്‍വേയുടെ കോൺഫിഗറേഷൻ ബാക്കപ്പ് ഉള്ളിടത്ത് സൂക്ഷിക്കുക. പൊരുത്തക്കേട് NPS ഉപയോഗപ്രദമായ പിശകില്ലാതെ ഒഴിവാക്കുന്ന ഒരു അഭ്യർത്ഥന സൃഷ്ടിക്കുന്നു, അത് ഗേറ്റ്‍വേ ലോഗിൽ എത്താനാവാത്ത സെർവറിൽ നിന്ന് വേർതിരിക്കാനാവില്ല. അറ്റകുറ്റപ്പണി സമയത്ത് അത് മാറ്റുക, അതേ മാറ്റത്തിൽ രണ്ട് അറ്റങ്ങളും അപ്ഡേറ്റ് ചെയ്യുക.
അനുവദിച്ച ഒരു അഭ്യർത്ഥനയിലൂടെ സ്ഥിരീകരിക്കുക
നിയന്ത്രിത അക്കൗണ്ട് ഉപയോഗിച്ച് ഇരു വശത്തും ഒരു ശ്രമം ബന്ധിപ്പിക്കുക. ഗേറ്റ്‍വേയിൽ അഭ്യർത്ഥന ഉദ്ദേശിച്ച സെർവറിലേക്ക് പോയെന്ന് സ്ഥിരീകരിക്കുക; NPS-ൽ അത് രജിസ്റ്റർ ചെയ്ത ക്ലയന്റിൽ നിന്ന് വന്നെന്നും പ്രതീക്ഷിച്ച കണക്ഷൻ അഭ്യർത്ഥനാ നയവുമായി ഒത്തുപോയെന്നും സ്ഥിരീകരിക്കുക. സമയപരിധി കഴിയുന്നതും നിരസിക്കുന്നതും വ്യത്യസ്ത കാര്യങ്ങൾ പറയുന്നു, ഇവ രണ്ടും ക്രെഡൻഷ്യൽ പ്രശ്നമായി കാണുന്നത് അടുത്ത മണിക്കൂർ നഷ്ടപ്പെടുത്തുന്നു. തുടർന്ന് സാധുവെന്നാൽ യോഗ്യതയില്ലാത്ത ഒരു അക്കൗണ്ടും തെറ്റായ പാസ്‌വേഡും പരിശോധിക്കുക, എല്ലാം സ്വീകരിക്കുന്ന നയം ആദ്യ പരീക്ഷയും കടക്കുന്നു.
അവസാനം, തിരികെ നൽകിയ അധികാരത്തോട് ഗേറ്റ്‍വേ എന്ത് ചെയ്യുന്നുവെന്ന് പരിശോധിക്കുക. RADIUS ക്ലയന്റ് രജിസ്ട്രേഷൻ ഉപകരണത്തിന് പങ്കെടുക്കാൻ മാത്രം അനുവാദം നൽകുന്നു; അത് ഉണ്ടാകുന്ന ഓരോ സെഷനും LAN-ലേക്കുള്ള പ്രവേശനം നൽകുന്നില്ല.
ഡയഗ്നോസ്റ്റിക് ഔട്ട്പുട്ട് പരിമിതമായി സൂക്ഷിക്കുക: പങ്കിട്ട രഹസ്യങ്ങളില്ല, ഉപയോക്തൃ പാസ്‌വേഡുകളില്ല, പിന്തുണാ ടിക്കറ്റിൽ പൂർണ്ണ പാക്കറ്റ് പേലോഡുകളില്ല. രൂപകൽപ്പന NPS സെർവർ ഡയറക്ടറി ആട്രിബ്യൂട്ടുകൾ വായിക്കണമെന്ന് ആവശ്യപ്പെടുന്നുവെങ്കിൽ, ആ അനുമതി ക്ലയന്റ് രജിസ്ട്രേഷനിൽ നിന്ന് വേറിട്ട ഒരു ഭരണനിർവ്വഹണ ജോലിയാണ്, അത് ഇല്ലാത്തപ്പോൾ അത് മറ്റൊരു രീതിയിൽ പരാജയപ്പെടുന്നു.