Alamat manakah yang anda daftarkan sebagai klien RADIUS NPS?

Get laluan VPN yang menyerahkan pengesahan kepada Windows NPS memerlukan satu objek di sebelah NPS sebelum mana-mana dasar pengguna boleh berjalan: entri klien RADIUS untuk get laluan itu. Kebanyakan percubaan yang gagal mendaftarkan alamat yang salah, kerana alamat yang penting ialah yang digunakan get laluan pada laluan backendnya, bukan nama hos yang ditaip kakitangan dalam aplikasi VPN mereka. Jika nilai itu salah, NPS membuang permintaan secara senyap, yang dari sisi klien kelihatan seperti kata laluan salah. Tiga syarat menentukan alamat mana yang masuk ke medan, jadi selesaikannya sebelum membuka konsol.

Daftarkan get laluan, bukan komputer riba atau kumpulan

Objek klien RADIUS mewakili peranti akses rangkaian yang menghantar permintaan pengesahan. Itulah get laluan VPN, bukan setiap komputer riba yang menjalankan klien, dan bukan julat alamat yang diagihkan di dalam terowong.

Alamat terowong itu tidak pernah muncul sebagai sumber permintaan RADIUS, kerana permintaan bergerak melalui laluan rangkaian get laluan itu sendiri. Mendaftarkan entri kumpulan klien menghasilkan dasar yang tidak mungkin sepadan, manakala permintaan sebenar tiba dari alamat yang NPS tidak pernah dengar. Kekeliruan yang sama membawa orang menambah IP rumah setiap pekerja, yang kedua-duanya tidak dapat diselenggara dan salah.

Tiga syarat menentukan alamat yang anda masukkan

Pertama, cari alamat sumber yang benar-benar digunakan get laluan ke arah NPS. Get laluan dengan banyak antara muka sering menghantar dari antara muka pengurusan atau backend dan bukan dari pendengar VPN awamnya. Kedua, semak sama ada ada NAT antara keduanya: jika permintaan diterjemah, NPS melihat alamat terjemahan, dan itulah nilai yang perlu didaftarkan. Ketiga, jika dua get laluan berkongsi peranan, setiap sumber permintaan memerlukan entri klien sendiri, kerana satu objek dengan satu alamat hanya meliputi satu daripadanya.

Rekod dua hujung menjaga pasangan itu lurus. Jadual di bawah menggunakan alamat peribadi sebagai ilustrasi, jadi gantikannya dengan yang benar-benar digunakan laluan anda.

Sahkan sumber itu dan jangan menekanya. Perhatikan log NPS atau tembok api semasa satu percubaan, atau tangkap pada hos NPS dengan sudo tcpdump -ni any udp port 1812. Alamat dalam tangkapan itu ialah satu-satunya jawapan yang boleh dipertahankan untuk entri klien. Jika get laluan mempunyai beberapa sumber yang mungkin, daftarkan setiap satu di bawah namanya sendiri yang mesra.

Rahsia kongsi ialah nilai antara get laluan dan NPS

Rahsia kongsi mengesahkan hubungan peranti. Ia bukan kata laluan pengguna dan tidak pernah diedarkan kepada kakitangan atau dibenamkan dalam profil klien.

Pilih satu nilai, masukkan di kedua-dua tempat, dan simpan di tempat sandaran konfigurasi get laluan berada. Ketidakpadanan menghasilkan permintaan yang NPS buang tanpa ralat berguna, dan ia tidak dapat dibezakan daripada pelayan yang tidak boleh dicapai dalam log get laluan. Putarkannya semasa tetingkap penyelenggaraan dan kemas kini kedua-dua hujung dalam perubahan yang sama.

Sahkan dengan satu permintaan yang dibenarkan

Gunakan akaun terkawal dan kaitkan satu percubaan di kedua-dua belah. Pada get laluan, sahkan bahawa permintaan keluar ke arah pelayan yang dimaksudkan; pada NPS, sahkan bahawa ia tiba dari klien berdaftar dan sepadan dengan dasar permintaan sambungan yang dijangka. Tamat masa dan penolakan membawa maksud berbeza, dan melayan kedua-duanya sebagai masalah kelayakan membazirkan satu jam berikutnya. Kemudian uji akaun sah tetapi tidak layak dan kata laluan salah, kerana dasar yang menerima segala-galanya juga lulus ujian pertama.

Akhir sekali, semak apa yang get laluan lakukan dengan kebenaran yang dipulangkan. Mendaftarkan klien RADIUS hanya membenarkan peranti menyertai; ia tidak memberi setiap sesi yang terhasil akses ke LAN.

Hadkan keluaran diagnostik: tiada rahsia kongsi, tiada kata laluan pengguna, tiada muatan paket penuh dalam tiket sokongan. Jika reka bentuk memerlukan pelayan NPS membaca atribut direktori, kebenaran itu ialah tugas pentadbiran berasingan daripada pendaftaran klien, dan apabila tiada ia gagal dengan cara berbeza.