Vast VPN-IP: RADIUS Framed-IP-Address of een poolreservering

Drie plaatsen kunnen een vast intern adres voor een VPN-client bevatten, en slechts één ervan zou het moeten bezitten. RADIUS kan het adres in een Access-Accept teruggeven, de gateway kan een statische toewijzing voor het account bijhouden, en de clientadapter kan handmatig worden ingesteld. De eerste twee zijn beleid en de derde is een lokale gok die de gateway vrij mag negeren of overschrijven. De keuze tussen de eerste twee is de echte beslissing, en die hangt af van wat de netwerktoegangsserver werkelijk implementeert.

Drie plaatsen waar een vast adres kan leven

RADIUS bezit het adres wanneer het antwoord Framed-IP-Address bevat en de gateway die waarde op de sessie toepast. De gateway bezit het wanneer een beheerder het account aan een statisch adres binnen de pool koppelt. De client bezit niets, zelfs niet wanneer de adapter een handmatig adres toont, omdat de server het interne adres tijdens de onderhandeling toewijst en een lokale instelling alleen telt wanneer de server er geen stuurt. Alle drie zien er hetzelfde uit op een werkende verbinding, waardoor conflicten laat aan het licht komen. Het verschil blijkt bij opnieuw verbinden, op een tweede apparaat en na een beleidswijziging.

Twee eigenaren is de configuratie die breekt. Een RADIUS-antwoord dat 172.28.4.77 toewijst terwijl de gateway een statische toewijzing voor 172.28.4.90 heeft, levert de waarde die de code van de leverancier eerst controleert, en de verliezer wordt zonder logregel weggegooid. Hetzelfde account op een tweede apparaat krijgt dan een dubbel adres, en het symptoom leest als een routeringsfout in plaats van een toewijzingsconflict. Bepaal de eigenaar voordat u het tweede mechanisme toevoegt.

De clientoptie is alleen het noemen waard om hem te kunnen uitsluiten. Een handmatig adapteradres is een voorkeur die het besturingssysteem kan tonen, geen reservering, en het kan niet voorkomen dat een andere sessie hetzelfde adres krijgt.

Wat het RADIUS-antwoord wel en niet kan beloven

RFC 2865definieert Framed-IP-Address als het IPv4-adres dat voor de gebruiker moet worden geconfigureerd, en het hoort in Access-Accept. Hetzelfde attribuut in Access-Request is slechts een hint die de server mag negeren, wat uitmaakt wanneer een client of gateway een voorkeursadres aanbiedt. Niets in het protocol dwingt de gateway het antwoord te respecteren, omdat de netwerktoegangsserver de component is die het op de sessie toepast.

Ondersteuning is een productvraag en geen protocolvraag. Sommige gateways passen ingekaderde adressen standaard toe, andere hebben een schakelaar op groepsniveau nodig voordat ze dat doen, en weer andere accepteren het attribuut en gebruiken het nooit voor sessies voor externe toegang. Dat laatste geval is het gevaarlijke, omdat het accountingrecord het antwoord kan tonen terwijl de client een pooladres krijgt. Bevestig het gedrag op het exacte gatewaymodel en de firmware die u draait, niet in de documentatie van een zusterproduct.

Een antwoord dat de gateway negeert, ziet er precies zo uit als een antwoord dat nooit is verzonden. Het Access-Accept en het sessieadres naast elkaar lezen is de enige manier om de twee gevallen te scheiden.

Reserveer het adres binnen de pool die u al routeert

Kies het vaste adres uit het poolsubnet dat de gateway al routeert en dat de firewall al vertrouwt. Een adres buiten dat bereik maakt van een beleidswijziging een routeringsproject, en de VPN komt op terwijl niets erachter kan antwoorden. Als er toegangsregels per adres bestaan, voeg het vaste adres dan in dezelfde wijziging daaraan toe.

Bepaal wat een tweede gelijktijdige sessie moet doen. Hetzelfde adres twee keer toewijzen is geen apparaatbeheer, en de resulterende botsing verschijnt als onregelmatige connectiviteit voor beide sessies. Geef ofwel afzonderlijke identiteiten per apparaat uit, afzonderlijke toewijzingen, of dwing gelijktijdigheid af met een ondersteunde controle, zoals Simultaneous-Use, in plaats van te hopen dat de client nooit opnieuw verbindt voordat de oude sessie verloopt.

Retourroutes verdienen dezelfde aandacht als de toewijzing. De gateway heeft een route naar de pool nodig, de interne routers hebben een route terug naar de gateway nodig, en het vaste adres erft beide. Eén client die werkt terwijl alle andere falen betekent meestal dat de poolroute bestaat, maar de hostroute voor het gereserveerde adres niet.

Test het antwoord voordat u de reservering vertrouwt

Test de AAA-kant en de sessiekant afzonderlijk, omdat ze om verschillende redenen falen. Een lokale radtest toont wat de server voor het account teruggeeft zonder de gateway erbij te betrekken, en de vermelding in het gebruikersbestand toont waarop de server moet matchen. Verbind de client daarna opnieuw en vergelijk het ontvangen adres met het attribuut in het antwoord.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Een Access-Accept zonder het attribuut betekent dat de server de vermelding niet heeft gematcht of dat het attribuut niet op die gebruiker is toegepast. Een Access-Accept met het attribuut en een client die nog steeds een pooladres ontvangt, betekent dat de gateway het heeft genegeerd. Een Access-Reject stuurt u terug naar de inloggegevens of het groepsbeleid, en geen van deze uitkomsten mag worden gededubd door de clientadapter te bewerken.

Herhaal de controle na een nieuwe verbinding en na een tweede aanmelding vanaf een ander apparaat. Een reservering die alleen voor de eerste sessie standhoudt, is een poolconflict dat staat te gebeuren, en het is goedkoper om het nu te vinden dan tijdens een audit.

Kies één eigenaar en schrijf die op

Als de gateway ingekaderde adressen betrouwbaar toepast, laat RADIUS de toewijzing bezitten en verwijder elke statische toewijzing voor hetzelfde account. Zo niet, laat de gateway hem bezitten en verwijder het attribuut uit het antwoord, zodat de twee bronnen het niet oneens kunnen zijn. Beide houden omdat elk bijna werkt, garandeert een toekomstige sessie met het verkeerde adres en zonder duidelijke oorzaak.

Schrijf de gekozen eigenaar, het gereserveerde adres en de pool waar het vandaan komt in het accountrecord. De volgende persoon die een apparaat toevoegt, kan dan zien of het adres een AAA-beleid of een gatewaytoewijzing is voordat hij een van beide wijzigt.