RRAS DHCP: alamat baharu atau hanya pilihan konfigurasi?

Membaca DHCPACK dalam rakaman sebagai bukti bahawa klien VPN memperoleh alamatnya daripada DHCP adalah satu kesilapan. Biasanya ia hanya membuktikan bahawa sesuatu mesej DHCP telah dijawab. Windows RRAS boleh mengagihkan alamat sesi daripada kumpulan statiknya sendiri sementara DHCP masih membekalkan pilihan kepada klien yang bersambung. Jenis permintaan memberitahu anda yang mana satu daripada dua tugas sedang berlaku.

Dua tugas yang berkongsi satu jenis mesej

DHCP melakukan dua perkara berasingan, dan kedua-duanya berkongsi jenis mesej. Satu ialah memperuntukkan alamat dan pajakan. Satu lagi ialah menyampaikan konfigurasi kepada hos yang sudah mempunyai alamat, yang dipanggil DHCPINFORM oleh RFC 2131. Balasan dalam kes kedua membawa pilihan dan tiada masa pajakan.

Jadi ACK ialah bukti jawapan, bukan bukti peruntukan. Mesej yang mendahuluinya menentukan soalan mana yang ditanya. Baca baris permintaan dahulu dan selebihnya surih biasanya menjelaskan dirinya sendiri.

Dari mana RRAS mendapatkan alamat

RRAS memiliki keputusan alamat VPN melalui kaedah peruntukan IPv4 yang dikonfigurasi: sama ada pelayan DHCP atau kumpulan alamat statik. Apabila kumpulan itu statik, kumpulan itulah pengagih, dan tempahan pada pelayan DHCP berasingan tidak mempunyai apa-apa suara dalam sesi itu. Kedua-dua mekanisme boleh wujud bersama pada rangkaian yang sama tanpa salah satu mengawal yang lain.

Get-Command -Module RemoteAccess *IPAddress*

Cari kaedah peruntukan yang berkuat kuasa sebelum menyahpepijat alamat. Jika ia kumpulan statik, skop DHCP ialah tempat yang salah untuk dilihat. Perintah di atas menyenaraikan cmdlet yang tersedia pada versi yang anda jalankan, dan itu cukup untuk menemui tetapan tersebut.

Apa yang boleh dan tidak boleh dibuktikan oleh kelas pengguna

Kelas pengguna DHCP ialah rentetan yang dihantar oleh klien, bukan keahlian kumpulan yang disahkan. Walaupun klien menghantar satu dan pelayan memadankan dasar padanya, label itu hanya membuktikan bahawa rentetan itu telah tiba. RFC 3004 menyatakan dengan jelas bahawa pilihan itu tidak mengesahkan hak terhadap kelas tersebut.

Jangan harap nama pengguna VPN, pengecam kumpulan keselamatan atau alamat Ethernet komputer riba muncul dalam permintaan itu dalam bentuk yang boleh digunakan. Itu semua fakta pengesahan dan direktori, dan permintaan DHCP tidak membawa mana-mana satu pun. Jika keperluannya ialah membezakan orang yang dibenarkan, kuatkuasakan dalam dasar VPN tempat identiti itu benar-benar wujud. Pemisahan itulah sebabnya kedua-dua sistem kekal bebas.

Bandingkan bukti, bukan ACK

Bina rantaian bukti dan bukannya membaca satu paket. Catat alamat yang diterima oleh sesi, jenis dan medan permintaan, pilihan yang dikembalikan oleh pelayan, dan konfigurasi berkesan klien selepas itu. Setiap pautan menjawab soalan yang berbeza, dan pautan yang hilang ialah tempat kerosakan sebenar biasanya berada.

Get-DhcpServerv4OptionValue -ScopeId 10.90.0.0

Jika alamat itu datang daripada kumpulan RRAS, tempahan DHCP tidak menjelaskan apa-apa. Jika pilihan tiba tetapi klien mengabaikannya, pelayan telah menjalankan tugasnya dan konfigurasi klien ialah perhentian seterusnya. Bandingkan kedua-dua hasil itu secara eksplisit dan ACK tidak lagi samar. Dua surih, satu daripada setiap kaedah peruntukan, menyelesaikan perdebatan lebih pantas daripada mana-mana dokumentasi.