IP VPN fissa: Framed-IP-Address f'RADIUS jew riżerva fil-pool

Tliet postijiet jistgħu jżommu indirizz intern fiss għal klijent VPN, u wieħed biss minnhom għandu jkollu dan. RADIUS jista' jirritorna l-indirizz f'Access-Accept, il-gateway jista' jżomm mappatura statika għall-kont, u l-adapter tal-klijent jista' jiġi ssettjat bl-idejn. L-ewwel tnejn huma politika u t-tielet hija suppożizzjoni lokali li l-gateway huwa ħieles li jinjora jew jikteb fuqha. L-għażla bejn l-ewwel tnejn hija d-deċiżjoni vera, u tiddependi minn dak li s-server tal-aċċess għan-netwerk tassew jimplimenta.

Tliet postijiet fejn indirizz fiss jista' jkun

RADIUS għandu l-indirizz meta r-risposta ġġorr Framed-IP-Address u l-gateway japplika dak il-valur għas-sessjoni. Il-gateway għandu dan meta amministratur jimmappa l-kont għal indirizz statiku fil-pool. Il-klijent m'għandu xejn, anki meta l-adapter tiegħu juri indirizz manwali, għax is-server jaġġudika l-indirizz intern waqt in-negozjati u setting lokali jgħodd biss meta s-server ma jibgħat xejn. It-tlieta jidhru identiċi fuq konnessjoni li taħdem, u għalhekk il-kunflitti joħorġu tard. Id-differenza tidher meta terġa' tgħaqqad, fuq it-tieni tagħmir u wara bidla fil-politika.

Żewġ sidien hija l-konfigurazzjoni li tinkiser. Risposta RADIUS li taġġudika 172.28.4.77 waqt li l-gateway iżomm mappatura statika għal 172.28.4.90 tagħti l-valur li l-kodiċi tal-fornitur jiċċekkja l-ewwel, u dak li jitlef jintrema mingħajr linja fil-log. L-istess kont fuq it-tieni tagħmir imbagħad jirċievi indirizz doppju, u s-sintomu jinqara bħala ħsara fir-routing u mhux bħala kunflitt fl-għoti. Iddeċiedi s-sid qabel ma żżid it-tieni mekkaniżmu.

L-għażla fuq in-naħa tal-klijent jistħoqqilha tissemma biss biex tiġi eskluża. Indirizz manwali tal-adapter hija preferenza li s-sistema operattiva tista' tippreżenta, mhux riżerva, u ma tistax tipprevjeni sessjoni oħra milli tirċievi l-istess indirizz.

X'jista' jwiegħed ir-risposta ta' RADIUS u x'ma jistax

RFC 2865jiddefinixxi Framed-IP-Address bħala l-indirizz IPv4 li għandu jiġi kkonfigurat għall-utent, u dan jappartjeni għal Access-Accept. L-istess attribut f'Access-Request huwa biss ħjiel li s-server jista' jinjora, u dan huwa importanti meta klijent jew gateway joffri indirizz preferut. Xejn fil-protokoll ma jġiegħel il-gateway jirrispetta r-risposta, għax is-server tal-aċċess għan-netwerk huwa l-komponent li japplikaha għas-sessjoni.

L-appoġġ hija kwistjoni ta' prodott u mhux ta' protokoll. Xi gateways japplikaw indirizzi mqassra b'mod awtomatiku, oħrajn jeħtieġu li swiċċ fil-livell tal-grupp jinxtegħel qabel jagħmlu dan, u oħrajn jaċċettaw l-attribut u qatt ma jużawh għal sessjonijiet ta' aċċess mill-bogħod. Dak l-aħħar każ huwa l-perikoluż, għax ir-rekord tal-kontabilità jista' juri r-risposta waqt li l-klijent jirċievi indirizz mill-pool. Ikkonferma l-imġiba fuq il-mudell eżatt tal-gateway u l-firmware li tħaddem, mhux fid-dokumentazzjoni ta' prodott oħt.

Risposta li l-gateway jinjora tidher eżattament bħal risposta li qatt ma ntbagħtet. Li taqra l-Access-Accept u l-indirizz tas-sessjoni ħdejn xulxin hija l-unika triq biex tifred dawn iż-żewġ każijiet.

Irriżerva l-indirizz fil-pool li diġà qed tirrotta

Agħżel l-indirizz fiss mis-subnet tal-pool li l-gateway diġà jirrotta u li l-firewall diġà jafda. Indirizz barra minn dak il-firxa jibdel bidla fil-politika fi proġett ta' routing, u l-VPN se titla' waqt li xejn warajha ma jista' jwieġeb. Jekk jeżistu regoli ta' aċċess għal kull indirizz, żid l-indirizz fiss magħhom fl-istess bidla.

Iddeċiedi x'għandha tagħmel it-tieni sessjoni simultanja. L-għoti ta' indirizz wieħed darbtejn mhuwiex ġestjoni ta' tagħmir, u l-kolliżjoni li tirriżulta tidher bħala konnettività intermittenti għaż-żewġ sessjonijiet. Jew ħareġ identitajiet distinti għal kull tagħmir, jew għoti distint, jew infurza s-simultanjetà b'verifika appoġġjata, bħal Simultaneous-Use, minflok tittama li l-klijent qatt ma jerġa' jgħaqqad qabel ma tiskadi s-sessjoni l-antika.

Ir-rotot tar-ritorn jistħoqqilhom l-istess attenzjoni bħall-għoti. Il-gateway jeħtieġ rotta lejn il-pool, ir-routerers interni jeħtieġu rotta lura lejn il-gateway, u l-indirizz fiss jiret it-tnejn. Klijent wieħed li jaħdem waqt li l-oħrajn kollha jfallu normalment ifisser li r-rotta tal-pool teżisti imma r-rotta tal-host għall-indirizz riżervat ma teżistix.

Ittestja r-risposta qabel ma tafda r-riżerva

Ittestja n-naħa AAA u n-naħa tas-sessjoni separatament, għax ifallu għal raġunijiet differenti. radtest lokali juri x'jirritorna s-server għall-kont mingħajr ma jinvolvi l-gateway, u d-dħul fil-fajl tal-utenti juri ma xiex is-server suppost jaqbel. Imbagħad erġa' għaqqad il-klijent u qabbel l-indirizz li rċieva mal-attribut fir-risposta.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Access-Accept mingħajr l-attribut ifisser li s-server ma qabilx id-dħul jew l-attribut ma ġiex applikat għal dak l-utent. Access-Accept bl-attribut u klijent li għadu jirċievi indirizz mill-pool ifisser li l-gateway injorah. Access-Reject jibgħatek lura għall-kredenzjali jew għall-politika tal-grupp, u ebda wieħed minn dawn ir-riżultati m'għandu jiġi ddebbuggjat billi tiġi editjata l-adapter tal-klijent.

Errepeti l-verifika wara li terġa' tgħaqqad u wara t-tieni login minn tagħmir ieħor. Riżerva li żżomm biss għall-ewwel sessjoni hija kunflitt fil-pool li jistenna li jiġri, u jiswa inqas issibu issa milli waqt awditjar.

Agħżel sid wieħed u ikteb dan

Jekk il-gateway japplika indirizzi mqassra b'mod affidabbli, ħalli lil RADIUS ikollu l-għoti u neħħi kwalunkwe mappatura statika għall-istess kont. Jekk le, ħalli lill-gateway ikollu dan u neħħi l-attribut mir-risposta, sabiex iż-żewġ sorsi ma jistgħux jaqblu ħażin. Li żżomm it-tnejn għax kull wieħed kważi jaħdem jiggarantixxi sessjoni futura bl-indirizz ħażin u mingħajr kawża ovvja.

Ikteb is-sid magħżul, l-indirizz riżervat u l-pool li minnu ġie fir-rekord tal-kont. Il-persuna li jmiss li żżid tagħmir tkun tista' tara jekk l-indirizz hijiex politika AAA jew mappatura tal-gateway qabel ma tbiddel waħda minnhom.