Тогтмол VPN IP: RADIUS-ын Framed-IP-Address эсвэл сан дахь нөөцлөлт

VPN клиентэд тогтмол дотоод хаяг гурван газар хадгалагдаж болох бөгөөд зөвхөн нэг нь үүнийг эзэмших ёстой. RADIUS хаягийг Access-Accept дотор буцааж өгч болно, гарц бүртгэлд статик зураглал хадгалж болно, клиентийн адаптерыг гараар тохируулж болно. Эхний хоёр нь бодлого, гурав дахь нь гарц үл тоомсорлож эсвэл дарж бичиж болох орон нутгийн таамаг юм. Эхний хоёрын хооронд сонгох нь жинхэнэ шийдвэр бөгөөд сүлжээний хандалтын сервер үнэхээр юу хэрэгжүүлж байгаагаас хамаарна.

Тогтмол хаяг байж болох гурван газар

Хариулт нь Framed-IP-Address агуулж, гарц тухайн утгыг сессэд хэрэглэх үед RADIUS хаягийг эзэмшинэ. Администратор бүртгэлийг сангийн доторх статик хаягт зураглах үед гарц үүнийг эзэмшинэ. Клиент юуг ч эзэмшихгүй, адаптер нь гараар оруулсан хаяг харуулсан ч, сервер дотоод хаягийг хэлэлцээрийн үед олгож, орон нутгийн тохиргоо нь сервер юу ч илгээхгүй үед л чухал. Гурвуулаа ажиллаж буй холболт дээр ижил харагдах тул зөрчил оройтож илэрдэг. Ялгаа нь дахин холбогдох, хоёр дахь төхөөрөмж, бодлого өөрчлөгдсөний дараа харагдана.

Хоёр эзэмшигч бол эвдэрдэг тохиргоо юм. RADIUS-ын хариулт 172.28.4.77-г олгож, гарц 172.28.4.90-д статик зураглал хадгалж байвал нийлүүлэгчийн код эхлээд шалгадаг утга гарч, ялагдсан нь лог мөргүйгээр хасагдана. Ижил бүртгэл хоёр дахь төхөөрөмж дээр давхардсан хаяг авч, шинж тэмдэг нь олголтын зөрчил биш харин чиглүүлэлтийн гэмтэл мэт уншигдана. Хоёр дахь механизмыг нэмэхийн өмнө эзэмшигчийг шийдээрэй.

Клиент талын сонголтыг зөвхөн хасахын тулд нэрлэх нь зүйтэй. Адаптерын гараар оруулсан хаяг нь үйлдлийн систем харуулж болох сонголт, нөөцлөлт биш бөгөөд өөр сесс ижил хаяг авахаас сэргийлж чадахгүй.

RADIUS-ын хариулт юуг амлаж чадах, юуг чадахгүй

RFC 2865Framed-IP-Address-ыг хэрэглэгчид тохируулах IPv4 хаяг гэж тодорхойлдог бөгөөд энэ нь Access-Accept-д хамаарна. Access-Request дахь мөн адил шинж чанар нь сервер үл тоомсорлож болох зөвлөмж бөгөөд клиент эсвэл гарц илүүд үзсэн хаяг санал болгоход чухал. Протоколд гарцыг хариултыг хүндэтгэхийг албадах зүйл байхгүй, учир нь сүлжээний хандалтын сервер нь үүнийг сессэд хэрэглэдэг бүрэлдэхүүн юм.

Дэмжлэг нь протоколын бус, бүтээгдэхүүний асуудал. Зарим гарц хүрээт хаягийг анхдагчаар хэрэглэдэг, зарим нь үүнийг хийхийн өмнө бүлгийн түвшний унтраалгыг асаах шаардлагатай, зарим нь шинж чанарыг хүлээн авдаг ч алсын хандалтын сесст хэзээ ч ашигладаггүй. Сүүлчийн тохиолдол аюултай, учир нь нягтлан бодох бүртгэлийн бичлэг хариултыг харуулж болох боловч клиент сангийн хаяг авдаг. Зан үйлийг таны ажиллуулж буй гарцын яг загвар, програм хангамж дээр баталгаажуулна уу, эгч бүтээгдэхүүний баримт бичигт биш.

Гарцын үл тоомсорлосон хариулт нь хэзээ ч илгээгээгүй хариулттай яг адил харагдана. Access-Accept болон сессийн хаягийг зэрэгцүүлэн унших нь эдгээр хоёр тохиолдлыг ялгах цорын ганц арга юм.

Хаягийг таны аль хэдийн чиглүүлж буй сангийн дотор нөөцөл

Тогтмол хаягийг гарцын аль хэдийн чиглүүлж, галт хана аль хэдийн итгэдэг сангийн дэд сүлжээнээс сонгоно уу. Энэ мужаас гадуур хаяг нь бодлогын өөрчлөлтийг чиглүүлэлтийн төсөл болгож, VPN өсөх боловч ард нь юу ч хариу өгч чадахгүй. Хэрэв хаяг тус бүрийн хандалтын дүрэм байвал мөн адил өөрчлөлтөд тогтмол хаягийг нэмнэ үү.

Хоёр дахь зэрэгцээ сесс юу хийх ёстойг шийдээрэй. Нэг хаягийг хоёр удаа олгох нь төхөөрөмжийн менежмент биш бөгөөд үүнээс үүсэх мөргөлдөөн хоёр сессийн хувьд тасалдалтай холболт хэлбэрээр илэрнэ. Нэг төхөөрөмж тутамд өөр таних тэмдэг олгох, эсвэл өөр олголт, эсвэл дэмжигдсэн шалгалтаар зэрэгцээ байдлыг хангана уу, жишээ нь Simultaneous-Use, хуучин сесс дуусахаас өмнө клиент хэзээ ч дахин холбогдохгүй гэж найдахын оронд.

Буцах чиглэлүүд нь олголттой адил анхаарал хандуулах ёстой. Гарцад сан руу чиглэл хэрэгтэй, дотоод чиглүүлэгчдэд гарц руу буцах чиглэл хэрэгтэй, тогтмол хаяг хоёуланг нь өвлөнө. Нэг клиент ажиллаж, бусад нь бүгд бүтэлгүйтвэл ихэвчлэн сангийн чиглэл байгаа боловч нөөцөлсөн хаягийн хост чиглэл байхгүй гэсэн үг.

Нөөцлөлтөд итгэхийн өмнө хариултыг шалгана уу

AAA тал болон сессийн талыг тус тусад нь шалгана уу, учир нь тэд өөр шалтгаанаар бүтэлгүйтдэг. Орон нутгийн radtest гарцыг оролцуулалгүйгээр сервер бүртгэлд юу буцааж өгөхийг харуулж, хэрэглэгчийн файлын бичлэг сервер юутай тохирох ёстойг харуулна. Дараа нь клиентийг дахин холбож, авсан хаягийг хариулт дахь шинж чанартай харьцуулна уу.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Шинж чанаргүй Access-Accept нь сервер бичлэгт тохироогүй эсвэл шинж чанар тухайн хэрэглэгчид хэрэглэгдээгүй гэсэн үг. Шинж чанартай Access-Accept ба сангийн хаяг авсаар байгаа клиент нь гарц үүнийг үл тоомсорлосон гэсэн үг. Access-Reject таныг итгэмжлэл эсвэл бүлгийн бодлого руу буцаана, эдгээр үр дүнг клиентийн адаптерыг засаж дибаг хийх ёсгүй.

Дахин холбогдсоны дараа болон өөр төхөөрөмжөөс хоёр дахь удаа нэвтэрсний дараа шалгалтыг давтана уу. Зөвхөн эхний сессэд тогтдог нөөцлөлт нь болохыг хүлээж буй сангийн зөрчил бөгөөд аудитын үеэр олохоос одоо олдох нь хямд.

Нэг эзэмшигчийг сонгоод бичээрэй

Хэрэв гарц хүрээт хаягийг найдвартай хэрэглэдэг бол олголтыг RADIUS эзэмшүүлж, мөн адил бүртгэлийн аливаа статик зураглалыг устгана уу. Хэрэв үгүй бол гарц үүнийг эзэмшүүлж, хариултаас шинж чанарыг устгана уу, ингэснээр хоёр эх сурвалж зөрчилдөх боломжгүй. Аль аль нь бараг ажилладаг гэж хоёуланг нь үлдээх нь ирээдүйн сессийг буруу хаягтай, тодорхой шалтгаангүйгээр баталгаажуулна.

Сонгосон эзэмшигч, нөөцөлсөн хаяг, түүний гаралтай санг бүртгэлийн бичлэгт бичнэ үү. Дараагийн төхөөрөмж нэмэх хүн аль нэгийг нь өөрчлөхийн өмнө хаяг нь AAA бодлого уу эсвэл гарцын зураглал уу гэдгийг харж чадна.