Kva adresse registrerer du som NPS RADIUS-klient?

Ein VPN-gateway som overlèt autentisering til Windows NPS treng eitt objekt på NPS-sida før nokon brukarpolicy kan køyre: ein RADIUS-klientføring for gatewayen. Dei fleste mislukka forsøka registrerer feil adresse, fordi adressa som tel er den gatewayen brukar på backend-bana si, ikkje vertsnamnet personalet skriv i VPN-appen. Er verdien feil, kastar NPS førespurnaden i stillheit, og det ser ut som eit feil passord frå klientsida. Tre vilkår avgjer kva adresse som høyrer i feltet, så finn dei ut før du opnar konsollen.

Registrer gatewayen, ikkje dei bereknelege eller poolen

RADIUS-klientobjektet representerer nettverkstilgangseininga som sender autentiseringsførespurnader. Det er VPN-gatewayen, ikkje kvar berbar som køyrer klienten, og ikkje adresseområdet som blir delt ut inne i tunnelane.

Desse tunneladressene viser seg aldri som kjelda til ein RADIUS-førespurnad, fordi førespurnaden går over gatewayen si eiga nettverksbane. Å registrere ein poolføring gir ein policy som aldri kan matche, medan den ekte førespurnaden kjem frå ei adresse NPS aldri har høyrt om. Den same forvirringa får folk til å leggje til heime-IP-en til kvar tilsett, noko som både er uhøveleg og feil.

Tre vilkår avgjer adressa du skriv inn

Finn først kjeldeadressa gatewayen faktisk brukar mot NPS. Ein gateway med fleire grensesnitt sender ofte frå eit administrasjons- eller backend-grensesnitt i staden for sin offentlege VPN-lyttar. Kontroller for det andre om det er NAT mellom dei: blir førespurnaden omsett, ser NPS den omsette adressa, og det er verdien som skal registrerast. For det tredje, om to gatewayar deler rolla, treng kvar førespurnadskjelde si eiga klientføring, fordi eitt objekt med éi adresse berre dekkjer éin av dei.

Ei føring med to endar held paret i orden. Tabellen nedanfor brukar private adresser som illustrasjon, så byt dei ut med dei bana di faktisk brukar.

Stadfest kjelda i staden for å gjette han. Følg med på NPS- eller brannmurloggen under eitt forsøk, eller ta opp på NPS-verten med sudo tcpdump -ni any udp port 1812. Adressa i den opptaka er det einaste forsvarlege svaret for klientføringa. Har gatewayen fleire mogelege kjelder, registrer kvar av dei under sitt eige venlege namn.

Den delte løyndomen er ein verdi mellom gateway og NPS

Den delte løyndomen autentiserer einingstilhøvet. Han er ikkje eit brukarpassord og blir aldri delt med personalet eller bygd inn i klientprofilar.

Vel éin verdi, skriv han inn begge stader, og oppbevar han der sikkerheitskopien av gatewaykonfigurasjonen ligg. Uoverenskomst gir ein førespurnad som NPS kastar utan ei nyttig feil, og det kan i loggen til gatewayen ikkje skiljast frå ein utilgjengeleg tenar. Roter han i eit vedlikehaldsvindauge og oppdater begge endar i same endring.

Stadfest med éin tillaten førespurnad

Bruk ein kontrollert konto og korreler eitt forsøk på begge sider. På gatewayen stadfestar du at førespurnaden gjekk mot den tiltenkte tenaren; på NPS at han kom frå den registrerte klienten og samsvarte med den forventa policyen for tilkoplingsførespurnader. Tidsavbrot og avvising betyr ulike ting, og å handsame begge som eit påloggingsproblem kastar bort den neste timen. Test deretter ein gyldig, men ikkje kvalifisert konto og eit feil passord, fordi ein policy som godtar alt òg består den første testen.

Til slutt, kontroller kva gatewayen gjer med autorisasjonen som blir returnert. Å registrere ein RADIUS-klient lèt berre eininga delta; det gir ikkje kvar resulterande sesjon tilgang til LAN.

Hald diagnostisk utdata avgrensa: ingen delte løyndomar, ingen brukarpassord, ingen heile pakkenyttelaster i ei støttesak. Viss designet krev at NPS-tenaren les katalogattributtar, er den løyva ei eiga administrativ oppgåve frå klientregistreringa, og når ho manglar feilar det på ein annan måte.