Framed-IP-Address frå RADIUS for ei stabil VPN-klientadresse

RADIUS kan svare med ei adresse for ein bestemt brukar; om tunnelen faktisk får ho, er avhengig av gatewayen. Det er i gapet mellom returnert og brukt at dei fleste planane for ei stabil adresse feilar. Eit attributt i eit testsvar beviser at tenaren kan sende det, ikkje at tenesta for fjernåtkomst brukar det. Sekvensen nedanfor kontrollerer begge halvdelane før adressa hamnar i brannmurreglane.

Avgjer kva lag som eig adressa

Gatewayar for fjernåtkomst har vanlegvis ein lokal pool, og mange kan òg ta imot ei adresse frå autentiseringssvaret. Kva som vinn, er avhengig av plattformen, protokollen og tenestekonfigurasjonen, så les prioritetsregelen for den nøyaktige versjonen som blir brukt. Der den lokale poolen har prioritet, er attributtet berre dekorasjon og klienten hamnar likevel på ei tilfeldig adresse. Skriv ned avgjerda, inkludert om ein returnert verdi må liggje innanfor poolområdet eller kan falle utanfor det.

RFC 2865 definerer Framed-IP-Address som adressa som skal konfigurerast for brukaren, og seier ingenting om viljen til ein bestemt gateway til å respektere ho. Leverandørdokumentasjonen er autoriteten på prioritet, ikkje definisjonen av attributtet.

Send ein testførespurnad og les svaret

Test tenaren isolert først, slik at eit manglande attributt ikkje blir forveksla med eit gatewayproblem. radtest sender éin Access-Request og skriv ut attributta som kjem tilbake.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Sjå etter Framed-IP-Address i Access-Accept og stadfest at verdien er den tiltenkte og ikkje ei pooladresse frå ein reserveregel. Når attributtet manglar, stemmer ikkje brukaroppføringa eller autorisasjonspolicyen, og gatewayjustering kan ikkje levere det tenaren aldri sende. Gjenta førespurnaden medan tenaren køyrer i feilsøkingsmodus om svaret er vanskeleg å spore til ein bestemt regel. Hald den delte hemmelegheita utanfor skallhistorikken og sakene, fordi plasshaldaren ovanfor ikkje er ein innloggingsdetalj.

Stadfest at gatewayen respekterte verdien

Eit riktig svar er berre halve kontrakten. Adressa som viser seg på tunnelgrensesnittet, er observasjonen som tel, og ho blir lesen på klienten i staden for å bli utleidd frå gatewaykonfigurasjonen.

ip -4 addr show tun0

Samanlikn den adressa med attributtet frå Access-Accept. Eit avvik betyr at gatewayen ignorerte eller skreiv om verdien, noko som opnar prioritetsspørsmålet frå første avsnittet på nytt. Kople til éin gong til, fordi ein reservasjon som berre fungerer på første forsøk, vanlegvis peikar på ei utdatert økt eller ein lease som den førre tilkoplinga framleis held. Noter gatewayversjonen og protokollen ved sida av resultatet, slik at neste person kan avgjere om åtferda er versjonsavhengig.

Planlegg for samtidigheit og tilbakekalling

Eitt brukarnamn på to einingar kan ikkje tilordnast éi adresse med mindre gatewayen skil øktene med noko utover innlogginga. Avgjer om tilordninga høyrer til ein person, ei registrert eining eller ein sertifikatidentitet, og gjer det valet tydeleg i policylageret. Test ein andre samtidig klient og samanlikn begge tildelte adressene, fordi ein kollisjon her dukkar opp seinare som ein rutefeil. Same omsuta høyrer heime i tilbakekallingsplanen, fordi ei adresse som blir tildelt på nytt medan gamle brannmurreglar framleis viser til ho, blir ein autorisasjonsfeil.

Stabil adressering forenklar reglar og loggar, men beviser aldri kven som genererte ein pakke. Autentisering og destinasjonsautorisasjon er framleis viktig når den adressa seinare flyttar til ei anna økt.