RADIUS Framed-IP-Address voor een stabiel VPN-clientadres

RADIUS kan met een adres voor een bepaalde gebruiker antwoorden; of de tunnel het ook echt krijgt, hangt van de gateway af. Juist in dat gat tussen teruggegeven en toegepast mislukken de meeste plannen voor een stabiel adres. Een attribuut in een testantwoord bewijst dat de server het kan sturen, niet dat de remote-accessdienst het toepast. De volgorde hieronder controleert beide helften voordat het adres in firewallregels belandt.

Bepaal welke laag het adres bezit

Remote-accessgateways hebben meestal een lokale pool, en veel kunnen ook een adres uit het authenticatieantwoord accepteren. Welke van de twee wint, hangt af van het platform, het protocol en de serviceconfiguratie, dus lees de voorrangsregel voor de exacte release die in gebruik is. Waar de lokale pool voorrang heeft, is het attribuut decoratie en komt de client toch op een willekeurig adres terecht. Schrijf de beslissing op, inclusief of een teruggegeven waarde binnen het poolbereik moet liggen of erbuiten mag vallen.

RFC 2865 definieert Framed-IP-Address als het adres dat voor de gebruiker moet worden geconfigureerd, en zegt niets over de bereidheid van een bepaalde gateway om dat te respecteren. Leveranciersdocumentatie is de autoriteit over voorrang, niet de definitie van het attribuut.

Stuur een testverzoek en lees het antwoord

Test eerst de server apart, zodat een ontbrekend attribuut niet voor een gatewayprobleem wordt aangezien. radtest stuurt één Access-Request en drukt de attributen af die terugkomen.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Zoek Framed-IP-Address in de Access-Accept en bevestig dat de waarde de bedoelde is en niet een pooladres uit een terugvalregel. Als het attribuut ontbreekt, komen de gebruikersvermelding of het autorisatiebeleid niet overeen, en gatewayafstelling kan niet leveren wat de server nooit heeft gestuurd. Herhaal het verzoek terwijl de server in debugmodus draait als het antwoord moeilijk aan een specifieke regel te koppelen is. Houd het gedeelde geheim buiten de shellgeschiedenis en tickets, want de plaatsaanduiding hierboven is geen inloggegeven.

Bevestig dat de gateway de waarde heeft gerespecteerd

Een correct antwoord is slechts de helft van het contract. Het adres dat op de tunnelinterface verschijnt, is de waarneming die telt, en dat wordt op de client gelezen in plaats van afgeleid uit de gatewayconfiguratie.

ip -4 addr show tun0

Vergelijk dat adres met het attribuut uit de Access-Accept. Een verschil betekent dat de gateway de waarde heeft genegeerd of herschreven, wat de voorrangsvraag uit de eerste sectie heropent. Maak nog één keer opnieuw verbinding, want een reservering die alleen bij de eerste poging werkt, wijst meestal op een verouderde sessie of een lease die nog door de vorige verbinding wordt vastgehouden. Noteer de gatewayrelease en het protocol naast het resultaat, zodat de volgende persoon kan zien of het gedrag versieafhankelijk is.

Plan voor gelijktijdigheid en intrekking

Eén gebruikersnaam op twee apparaten kan niet aan één adres worden gekoppeld, tenzij de gateway de sessies onderscheidt door iets anders dan de login. Bepaal of de koppeling bij een persoon, een geregistreerd apparaat of een certificaatidentiteit hoort, en maak die keuze expliciet in de beleidsopslag. Test een tweede gelijktijdige client en vergelijk beide toegewezen adressen, want een botsing hier komt later terug als een routeringsfout. Dezelfde zorg hoort bij het intrekkingsplan, want een adres dat opnieuw wordt toegewezen terwijl oude firewallregels er nog naar verwijzen, wordt een autorisatiefout.

Stabiele adressering vereenvoudigt regels en logs, maar bewijst nooit wie een pakket heeft gemaakt. Authenticatie en bestemmingsautorisatie blijven belangrijk wanneer dat adres later naar een andere sessie verhuist.