Welk adres registreert u als NPS RADIUS-client?

Een VPN-gateway die authenticatie aan Windows NPS overlaat, heeft aan de NPS-kant één object nodig voordat enig gebruikersbeleid kan draaien: een RADIUS-clientvermelding voor de gateway. De meeste mislukte pogingen registreren het verkeerde adres, want het adres dat telt is het adres dat de gateway op zijn backend-pad gebruikt, niet de hostnaam die medewerkers in hun VPN-app typen. Is die waarde fout, dan gooit NPS het verzoek stil weg, wat aan de clientkant op een fout wachtwoord lijkt. Drie voorwaarden bepalen welk adres in het veld hoort, dus werk ze uit voordat u de console opent.

Registreer de gateway, niet de laptops of de pool

Het RADIUS-clientobject vertegenwoordigt het netwerktoegangsapparaat dat authenticatieverzoeken verstuurt. Dat is de VPN-gateway, niet elke laptop met de client en niet het adresbereik dat binnen tunnels wordt uitgedeeld.

Die tunneladressen verschijnen nooit als bron van een RADIUS-verzoek, omdat het verzoek over het eigen netwerkpad van de gateway reist. Een poolvermelding registreren levert een beleid op dat nooit kan matchen, terwijl het echte verzoek binnenkomt van een adres waarvan NPS nooit heeft gehoord. Dezelfde verwarring brengt mensen ertoe het thuis-IP van elke medewerker toe te voegen, wat zowel onbeheerbaar als fout is.

Drie voorwaarden bepalen het adres dat u invoert

Zoek eerst het bronadres dat de gateway werkelijk richting NPS gebruikt. Een gateway met meerdere interfaces stuurt vaak vanaf een beheer- of backend-interface in plaats van zijn openbare VPN-listener. Controleer ten tweede of er NAT tussen beide zit: wordt het verzoek vertaald, dan ziet NPS het vertaalde adres, en dat is de waarde die u registreert. Ten derde, als twee gateways de rol delen, heeft elke verzoekbron zijn eigen clientvermelding nodig, want één object met één adres dekt er maar één.

Een vermelding met twee kanten houdt het paar recht. De tabel hieronder gebruikt privéadressen als voorbeeld, dus vervang ze door de adressen die uw pad werkelijk gebruikt.

Bevestig de bron in plaats van hem te raden. Kijk tijdens één poging naar het NPS- of firewall-log, of leg vast op de NPS-host met sudo tcpdump -ni any udp port 1812. Het adres in die opname is het enige verdedigbare antwoord voor de clientvermelding. Heeft de gateway meerdere mogelijke bronnen, registreer ze dan elk onder hun eigen vriendelijke naam.

Het gedeelde geheim is een waarde tussen gateway en NPS

Het gedeelde geheim authenticeert de apparaatrelatie. Het is geen gebruikerswachtwoord en wordt nooit aan medewerkers verstrekt of in clientprofielen ingebed.

Kies één waarde, voer die op beide plaatsen in en bewaar die waar de configuratieback-up van de gateway staat. Een afwijking levert een verzoek op dat NPS zonder bruikbare fout weggooit, en dat is in het log van de gateway niet te onderscheiden van een onbereikbare server. Roteer het tijdens een onderhoudsvenster en werk beide kanten in dezelfde wijziging bij.

Bevestig met één toegestaan verzoek

Gebruik een gecontroleerd account en correleer één poging aan beide kanten. Bij de gateway bevestigt u dat het verzoek naar de bedoelde server ging; bij NPS dat het van de geregistreerde client kwam en bij het verwachte beleid voor verbindingsverzoeken paste. Een time-out en een weigering betekenen verschillende dingen, en beide als inlogprobleem behandelen kost het volgende uur. Test daarna een geldig maar niet-gerechtigd account en een fout wachtwoord, want een beleid dat alles accepteert slaagt ook voor de eerste test.

Controleer ten slotte wat de gateway met de teruggegeven autorisatie doet. Een RADIUS-client registreren staat het apparaat alleen deelname toe; het geeft niet elke resulterende sessie toegang tot het LAN.

Houd diagnostische uitvoer beperkt: geen gedeelde geheimen, geen gebruikerswachtwoorden, geen volledige pakketpayloads in een supportticket. Als het ontwerp vereist dat de NPS-server directorykenmerken leest, is die toestemming een aparte administratieve taak naast de clientregistratie, en ontbreekt die, dan faalt het op een andere manier.