IP VPN tetap: Framed-IP-Address RADIUS atau tempahan dalam kolam

Tiga tempat boleh memegang alamat dalaman tetap untuk klien VPN, dan hanya satu daripadanya patut memilikinya. RADIUS boleh mengembalikan alamat itu dalam Access-Accept, gateway boleh menyimpan pemetaan statik untuk akaun, dan penyesuai klien boleh ditetapkan secara manual. Dua yang pertama ialah dasar dan yang ketiga ialah tekaan tempatan yang gateway bebas abaikan atau timpa. Memilih antara dua yang pertama ialah keputusan sebenar, dan ia bergantung pada apa yang sebenarnya dilaksanakan oleh pelayan akses rangkaian.

Tiga tempat alamat tetap boleh berada

RADIUS memiliki alamat itu apabila balasan membawa Framed-IP-Address dan gateway menggunakan nilai itu pada sesi. Gateway memilikinya apabila pentadbir memetakan akaun kepada alamat statik dalam kolam. Klien tidak memiliki apa-apa, walaupun penyesuainya menunjukkan alamat manual, kerana pelayan menetapkan alamat dalaman semasa rundingan dan tetapan tempatan hanya penting apabila pelayan tidak menghantar apa-apa. Ketiga-tiganya kelihatan sama pada sambungan yang berfungsi, sebab itulah konflik muncul lewat. Perbezaannya kelihatan semasa menyambung semula, pada peranti kedua dan selepas perubahan dasar.

Dua pemilik ialah konfigurasi yang rosak. Balasan RADIUS yang menetapkan 172.28.4.77 sementara gateway menyimpan pemetaan statik untuk 172.28.4.90 menghasilkan nilai yang diperiksa kod vendor dahulu, dan yang kalah dibuang tanpa satu baris log. Akaun yang sama pada peranti kedua kemudian menerima alamat pendua, dan gejalanya terbaca sebagai kerosakan penghalaan dan bukan konflik penetapan. Tetapkan pemiliknya sebelum menambah mekanisme kedua.

Pilihan sebelah klien wajar disebut hanya supaya dapat dikecualikan. Alamat penyesuai manual ialah keutamaan yang mungkin ditunjukkan sistem pengendalian, bukan tempahan, dan ia tidak dapat menghalang sesi lain daripada menerima alamat yang sama.

Apa yang boleh dan tidak boleh dijanjikan oleh balasan RADIUS

RFC 2865mentakrifkan Framed-IP-Address sebagai alamat IPv4 yang perlu dikonfigurasikan untuk pengguna, dan ia tergolong dalam Access-Accept. Atribut yang sama dalam Access-Request hanyalah petunjuk yang boleh diabaikan pelayan, yang penting apabila klien atau gateway menawarkan alamat pilihan. Tiada apa-apa dalam protokol yang memaksa gateway menghormati balasan itu, kerana pelayan akses rangkaian ialah komponen yang menggunakannya pada sesi.

Sokongan ialah persoalan produk dan bukan protokol. Sesetengah gateway menggunakan alamat berbingkai secara lalai, yang lain memerlukan suis peringkat kumpulan dihidupkan sebelum berbuat demikian, dan yang lain menerima atribut itu tetapi tidak pernah menggunakannya untuk sesi akses jauh. Kes terakhir itulah yang berbahaya, kerana rekod perakaunan boleh menunjukkan balasan sementara klien menerima alamat kolam. Sahkan tingkah laku pada model gateway dan firmware tepat yang anda jalankan, bukan pada dokumentasi produk saudara.

Balasan yang diabaikan gateway kelihatan sama seperti balasan yang tidak pernah dihantar. Membaca Access-Accept dan alamat sesi bersebelahan ialah satu-satunya cara memisahkan kedua-dua kes itu.

Tempah alamat itu di dalam kolam yang sudah anda halakan

Pilih alamat tetap daripada subnet kolam yang sudah dihalakan gateway dan yang sudah dipercayai oleh firewall. Alamat di luar julat itu menjadikan perubahan dasar sebagai projek penghalaan, dan VPN akan naik sementara tiada apa-apa di belakangnya dapat menjawab. Jika ada peraturan akses setiap alamat, tambahkan alamat tetap itu kepadanya dalam perubahan yang sama.

Tentukan apa yang patut dilakukan sesi serentak kedua. Menetapkan satu alamat dua kali bukan pengurusan peranti, dan perlanggaran yang terhasil muncul sebagai kesambungan berselang-seli untuk kedua-dua sesi. Sama ada keluarkan identiti berbeza setiap peranti, penetapan berbeza, atau kuatkuasakan keserentakan dengan pemeriksaan yang disokong, seperti Simultaneous-Use, daripada berharap klien tidak akan menyambung semula sebelum sesi lama tamat tempoh.

Laluan pulangan wajar diberi perhatian yang sama seperti penetapan. Gateway memerlukan laluan ke kolam, penghala dalaman memerlukan laluan balik ke gateway, dan alamat tetap mewarisi kedua-duanya. Satu klien yang berfungsi sementara semua yang lain gagal biasanya bermaksud laluan kolam wujud tetapi laluan hos untuk alamat tempahan itu tidak.

Uji balasan sebelum anda mempercayai tempahan itu

Uji sebelah AAA dan sebelah sesi secara berasingan, kerana kedua-duanya gagal atas sebab yang berbeza. Sebuah radtest tempatan menunjukkan apa yang dipulangkan pelayan untuk akaun tanpa melibatkan gateway, dan entri fail pengguna menunjukkan apa yang sepatutnya dipadankan pelayan. Kemudian sambung semula klien dan bandingkan alamat yang diterimanya dengan atribut dalam balasan.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Access-Accept tanpa atribut itu bermaksud pelayan tidak memadankan entri atau atribut itu tidak digunakan pada pengguna berkenaan. Access-Accept dengan atribut itu dan klien yang masih menerima alamat kolam bermaksud gateway mengabaikannya. Access-Reject menghantar anda kembali kepada kelayakan atau dasar kumpulan, dan tiada satu pun daripada hasil ini patut dinyahpepijat dengan menyunting penyesuai klien.

Ulang pemeriksaan selepas menyambung semula dan selepas log masuk kedua daripada peranti lain. Tempahan yang hanya bertahan untuk sesi pertama ialah konflik kolam yang menunggu berlaku, dan lebih murah menemuinya sekarang daripada semasa audit.

Pilih satu pemilik dan tuliskan

Jika gateway menggunakan alamat berbingkai dengan boleh dipercayai, biarkan RADIUS memiliki penetapan itu dan hapuskan sebarang pemetaan statik untuk akaun yang sama. Jika tidak, biarkan gateway memilikinya dan hapuskan atribut itu daripada balasan, supaya kedua-dua sumber tidak boleh bercanggah. Menyimpan kedua-duanya kerana masing-masing hampir berfungsi menjamin sesi masa depan dengan alamat yang salah dan tanpa sebab yang jelas.

Tulis pemilik yang dipilih, alamat yang ditempah dan kolam asalnya ke dalam rekod akaun. Orang seterusnya yang menambah peranti boleh melihat sama ada alamat itu dasar AAA atau pemetaan gateway sebelum menukar mana-mana daripadanya.