Liema indirizz tirreġistra bħala klijent RADIUS tan-NPS?
Irreġistra s-sors reali tal-backend tal-gateway, mhux l-isem tal-host pubbliku jew il-pool tal-klijenti. Qabbel is-sigriet kondiviż, imbagħad ikkonferma b'talba waħda kkontrollata.
Gateway VPN li jgħaddi l-awtentikazzjoni lil Windows NPS jeħtieġ oġġett wieħed fuq in-naħa tal-NPS qabel ma tista' taħdem kwalunkwe politika tal-utent: entrata ta' klijent RADIUS għall-gateway. Ħafna mill-attentati li jonqsu jirreġistraw l-indirizz żbaljat, għax l-indirizz li jgħodd huwa dak li l-gateway juża fit-triq tal-backend tiegħu, mhux l-isem tal-host li l-istaff jittajpja fl-app VPN tagħhom. Jekk dan il-valur ikun żbaljat, NPS jarmi t-talba bil-kwiet, u dan mill-ġenb tal-klijent jidher bħala password ħażina. Tliet kundizzjonijiet jiddeċiedu liema indirizz jappartjeni lill-qasam, għalhekk ifhemhom qabel ma tiftaħ il-console.
Irreġistra l-gateway, mhux il-laptops jew il-pool
L-oġġett tal-klijent RADIUS jirrappreżenta l-apparat tal-aċċess għan-netwerk li jibgħat it-talbiet tal-awtentikazzjoni. Dan huwa l-gateway VPN, mhux kull laptop li jħaddem il-klijent, u mhux il-firxa ta' indirizzi li jingħataw ġewwa t-tunnels.
Dawk l-indirizzi tat-tunnels qatt ma jidhru bħala s-sors ta' talba RADIUS, għax it-talba tgħaddi mit-triq tan-netwerk tal-gateway stess. Li tirreġistra entrata tal-pool tal-klijenti tipproduċi politika li qatt ma tista' taqbel, filwaqt li t-talba vera tasal minn indirizz li NPS qatt ma sama' bih. L-istess konfużjoni twassal biex in-nies iżidu l-IP tad-dar ta' kull impjegat, li huwa fl-istess ħin mhux sostenibbli u żbaljat.
Tliet kundizzjonijiet jiddeċiedu l-indirizz li ddaħħal
L-ewwel, sib l-indirizz tas-sors li l-gateway tassew juża lejn NPS. Gateway b'ħafna interfaces spiss jibgħat minn interface tal-immaniġġjar jew tal-backend minflok mis-semmiegħ VPN pubbliku tiegħu. It-tieni, iċċekkja jekk hemmx NAT bejn it-tnejn: jekk it-talba tiġi tradotta, NPS jara l-indirizz tradott, u dak huwa l-valur li għandu jiġi rreġistrat. It-tielet, jekk żewġ gateways jaqsmu r-rwol, kull sors tat-talbiet jeħtieġ l-entrata tal-klijent tiegħu stess, għax oġġett wieħed b'indirizz wieħed ikopri biss wieħed minnhom.
Rekord b'żewġt itruf iżomm il-par dritt. It-tabella hawn taħt tuża indirizzi privati bħala illustrazzjoni, għalhekk ibdelhom b'dawk li t-triq tiegħek tassew tuża.
| At NPS | At the VPN gateway |
|---|---|
| RADIUS client address 10.20.0.10 | Authentication server 10.20.0.20 |
| Shared secret, agreed value | The same secret, same value |
| UDP 1812 permitted from 10.20.0.10 | UDP 1812 permitted toward 10.20.0.20 |
Ikkonferma s-sors minflok taqtagħha bl-addoċċ. Osserva l-log tal-NPS jew tal-firewall waqt tentattiv wieħed, jew aqbad fuq il-host tal-NPS b'sudo tcpdump -ni any udp port 1812. L-indirizz f'dak il-qbid huwa l-unika tweġiba difendibbli għall-entrata tal-klijent. Jekk il-gateway għandu diversi sorsi possibbli, irreġistra kull wieħed taħt ismu faċli tiegħu stess.
Is-sigriet kondiviż huwa valur bejn il-gateway u NPS
Is-sigriet kondiviż jawtentika r-relazzjoni bejn l-apparati. Mhuwiex password tal-utent u qatt ma jitqassam lill-istaff jew jiġi inkorporat fil-profili tal-klijenti.
Agħżel valur wieħed, daħħlu fiż-żewġ postijiet, u aħżnu fejn tinsab il-kopja tal-konfigurazzjoni tal-gateway. Nuqqas ta' qbil jipproduċi talba li NPS jarmi mingħajr żball utli, u dan fil-log tal-gateway ma jistax jiġi distint minn server li ma jintlaħaqx. Dawwarha waqt tieqa tal-manutenzjoni u aġġorna ż-żewġt itruf fl-istess bidla.
Ikkonferma b'talba permessa waħda
Uża kont ikkontrollat u kkorrela tentattiv wieħed fuq iż-żewġ naħat. Fuq il-gateway, ikkonferma li t-talba ħarġet lejn is-server maħsub; fuq NPS, li waslet mill-klijent irreġistrat u li qabblet mal-politika tal-bidla tal-konnessjoni mistennija. Timeout u rifjut ifissru affarijiet differenti, u li ttratta t-tnejn bħala problema ta' kredenzjali jtellef is-siegħa li jmiss. Imbagħad ipprova kont validu iżda mhux eliġibbli u password ħażina, għax politika li taċċetta kollox tgħaddi wkoll l-ewwel test.
Fl-aħħar, iċċekkja x'jagħmel il-gateway bl-awtorizzazzjoni rritornata. Li tirreġistra klijent RADIUS jippermetti biss lill-apparat jipparteċipa; ma jagħtix aċċess għal-LAN lil kull sessjoni li tirriżulta.
Żomm il-ħruġ dijanjostiku limitat: l-ebda sigriet kondiviż, l-ebda password tal-utent, l-ebda payload sħiħ tal-pakkett fi biljett ta' appoġġ. Jekk id-disinn jitlob li s-server NPS jaqra attributi tad-direttorju, dik il-permess hija kompitu amministrattiv separat mir-reġistrazzjoni tal-klijent, u meta tonqos hija tfalli b'mod differenti.