Framed-IP-Address fra RADIUS for en stabil VPN-klientadresse

RADIUS kan svare med en adresse for en bestemt bruker; om tunnelen faktisk får den, avhenger av gatewayen. Det er i gapet mellom returnert og anvendt at de fleste planer for en stabil adresse feiler. Et attributt i et testsvar beviser at serveren kan sende det, ikke at fjernaksess-tjenesten bruker det. Sekvensen nedenfor kontrollerer begge halvdeler før adressen havner i brannmurreglene.

Bestem hvilket lag som eier adressen

Fjernaksess-gatewayer har vanligvis en lokal pool, og mange kan også godta en adresse fra autentiseringssvaret. Hvilken som vinner avhenger av plattformen, protokollen og tjenestekonfigurasjonen, så les prioritetsregelen for den nøyaktige versjonen som brukes. Der den lokale poolen har prioritet, er attributtet bare dekorasjon og klienten ender likevel på en tilfeldig adresse. Skriv ned beslutningen, inkludert om en returnert verdi må ligge innenfor poolens område eller kan falle utenfor det.

RFC 2865 definerer Framed-IP-Address som adressen som skal konfigureres for brukeren, og sier ingenting om en bestemt gateways vilje til å respektere den. Leverandørens dokumentasjon er autoriteten på prioritet, ikke definisjonen av attributtet.

Send en testforespørsel og les svaret

Test serveren isolert først, slik at et manglende attributt ikke forveksles med et gatewayproblem. radtest sender én Access-Request og skriver ut attributtene som kommer tilbake.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Se etter Framed-IP-Address i Access-Accept og bekreft at verdien er den tiltenkte og ikke en pooladresse fra en reserveregel. Når attributtet mangler, stemmer ikke brukeroppføringen eller autorisasjonspolicyen, og gatewayjustering kan ikke levere det serveren aldri sendte. Gjenta forespørselen mens serveren kjører i feilsøkingsmodus hvis svaret er vanskelig å spore til en bestemt regel. Hold den delte hemmeligheten utenfor skallhistorikken og sakene, fordi plassholderen ovenfor ikke er en innloggingsdetalj.

Bekreft at gatewayen respekterte verdien

Et riktig svar er bare halve kontrakten. Adressen som vises på tunnelgrensesnittet, er observasjonen som betyr noe, og den leses på klienten i stedet for å utledes fra gatewaykonfigurasjonen.

ip -4 addr show tun0

Sammenlign den adressen med attributtet fra Access-Accept. Et avvik betyr at gatewayen ignorerte eller skrev om verdien, noe som åpner prioritetsspørsmålet fra første avsnitt igjen. Koble til én gang til, fordi en reservasjon som bare fungerer på første forsøk vanligvis peker på en utdatert økt eller en lease som den forrige tilkoblingen fortsatt holder. Noter gatewayversjonen og protokollen ved siden av resultatet, slik at neste person kan avgjøre om oppførselen er versjonsavhengig.

Planlegg for samtidighet og tilbakekalling

Ett brukernavn på to enheter kan ikke tilordnes én adresse med mindre gatewayen skiller øktene med noe utover innloggingen. Bestem om tilordningen tilhører en person, en registrert enhet eller en sertifikatidentitet, og gjør det valget tydelig i policylageret. Test en andre samtidig klient og sammenlign begge tildelte adressene, fordi en kollisjon her dukker opp senere som en rutingfeil. Samme omhu hører hjemme i tilbakekallingsplanen, fordi en adresse som tildeles på nytt mens gamle brannmurregler fortsatt refererer til den, blir en autorisasjonsfeil.

Stabil adressering forenkler regler og logger, men beviser aldri hvem som genererte en pakke. Autentisering og destinasjonsautorisasjon er fortsatt viktig når den adressen senere flyttes til en annen økt.