Framed-IP-Address RADIUS untuk Alamat Klien VPN yang Stabil

RADIUS boleh menjawab dengan alamat untuk pengguna tertentu; sama ada terowong benar-benar menerimanya bergantung pada gateway. Di celah antara dikembalikan dan dilaksanakan itulah kebanyakan rancangan alamat stabil gagal. Atribut dalam balasan ujian membuktikan pelayan boleh menghantarnya, bukan bahawa perkhidmatan akses jauh melaksanakannya. Urutan di bawah memeriksa kedua-dua bahagian sebelum alamat masuk ke dalam peraturan tembok api.

Tentukan lapisan mana yang memiliki alamat

Gateway akses jauh biasanya mempunyai kolam tempatan, dan banyak juga boleh menerima alamat daripada balasan pengesahan. Yang mana menang bergantung pada platform, protokol dan konfigurasi perkhidmatan, jadi baca peraturan keutamaan untuk keluaran tepat yang digunakan. Jika kolam tempatan diutamakan, atribut itu hanyalah hiasan dan klien tetap mendapat alamat rawak. Catat keputusan itu, termasuk sama ada nilai yang dikembalikan mesti berada dalam julat kolam atau boleh berada di luarnya.

RFC 2865 mentakrifkan Framed-IP-Address sebagai alamat yang perlu dikonfigurasikan untuk pengguna, dan tidak menyebut apa-apa tentang kesediaan gateway tertentu untuk menghormatinya. Dokumentasi vendor ialah pihak berkuasa tentang keutamaan, bukan takrifan atribut.

Hantar permintaan ujian dan baca balasannya

Uji pelayan secara berasingan dahulu, supaya atribut yang tiada tidak disalah anggap sebagai masalah gateway. radtest menghantar satu Access-Request dan mencetak atribut yang kembali.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Cari Framed-IP-Address dalam Access-Accept dan pastikan nilainya ialah yang dimaksudkan, bukan alamat kolam daripada peraturan sandaran. Apabila atribut tiada, entri pengguna atau dasar kebenaran tidak sepadan, dan penalaan gateway tidak boleh membekalkan apa yang pelayan tidak pernah hantar. Ulang permintaan semasa pelayan berjalan dalam mod nyahpepijat jika balasannya sukar dijejaki kepada peraturan tertentu. Jauhkan rahsia kongsi daripada sejarah shell dan tiket, kerana pemegang tempat di atas bukan kelayakan log masuk.

Sahkan gateway menghormati nilai itu

Balasan yang betul hanyalah separuh daripada kontrak. Alamat yang muncul pada antara muka terowong ialah pemerhatian yang penting, dan ia dibaca pada klien bukan disimpulkan daripada konfigurasi gateway.

ip -4 addr show tun0

Bandingkan alamat itu dengan atribut daripada Access-Accept. Ketidakpadanan bermaksud gateway mengabaikan atau menulis semula nilai itu, yang membuka semula persoalan keutamaan daripada bahagian pertama. Sambung semula sekali lagi, kerana tempahan yang hanya berfungsi pada percubaan pertama biasanya menunjukkan sesi lapuk atau pajakan yang masih dipegang oleh sambungan sebelumnya. Catat keluaran gateway dan protokol di sebelah hasil, supaya orang seterusnya dapat mengetahui sama ada tingkah laku itu khusus versi.

Rancang untuk keserentakan dan pembatalan

Satu nama pengguna pada dua peranti tidak boleh dipetakan kepada satu alamat melainkan gateway membezakan sesi dengan sesuatu selain log masuk. Tentukan sama ada pemetaan itu milik seseorang, peranti berdaftar atau identiti sijil, dan jadikan pilihan itu jelas dalam stor dasar. Uji klien kedua serentak dan bandingkan kedua-dua alamat yang diberikan, kerana pertembungan di sini muncul semula kemudian sebagai kesalahan penghalaan. Penjagaan yang sama perlu ada dalam pelan pembatalan, kerana alamat yang diberikan semula semasa peraturan tembok api lama masih merujuknya menjadi pepijat kebenaran.

Pengalamatan stabil memudahkan peraturan dan log, tetapi ia tidak pernah membuktikan siapa yang menjana paket. Pengesahan dan kebenaran destinasi masih penting apabila alamat itu berpindah ke sesi lain kemudian.