RRAS DHCP: nowy adres czy tylko opcje konfiguracji?

Odczytanie DHCPACK w zrzucie jako dowodu, że klient VPN otrzymał adres z DHCP, jest błędem. Zwykle dowodzi to tylko, że na jakąś wiadomość DHCP odpowiedziano. Windows RRAS może rozdawać adresy sesji z własnej puli statycznej, podczas gdy DHCP nadal dostarcza opcje podłączonemu klientowi. Typ żądania mówi, które z tych dwóch zadań trwało.

Dwa zadania, które dzielą jeden typ wiadomości

DHCP robi dwie odrębne rzeczy i obie dzielą typy wiadomości. Jedna to przydzielenie adresu i dzierżawy. Druga to dostarczenie konfiguracji hostowi, który już ma adres, co RFC 2131 nazywa DHCPINFORM. Odpowiedź w drugim przypadku niesie opcje i żadnego czasu dzierżawy.

Zatem ACK jest dowodem odpowiedzi, nie dowodem przydziału. Wiadomość przed nim decyduje, jakie pytanie zadano. Przeczytaj najpierw wiersz żądania, a reszta śladu zwykle wyjaśnia się sama.

Skąd RRAS bierze adres

RRAS posiada decyzję o adresie VPN poprzez skonfigurowaną metodę przydzielania IPv4: serwer DHCP albo statyczną pulę adresów. Gdy pula jest statyczna, pula jest przydzielającym, a rezerwacja na osobnym serwerze DHCP nie ma nic do powiedzenia w tej sesji. Oba mechanizmy mogą współistnieć w tej samej sieci, bez tego, by jeden kontrolował drugi.

Get-Command -Module RemoteAccess *IPAddress*

Ustal obowiązującą metodę przydzielania, zanim zaczniesz szukać przyczyny w adresie. Jeśli to pula statyczna, zakres DHCP to złe miejsce do patrzenia. Powyższe polecenie wymienia polecenia cmdlet dostępne w Twojej wersji i to wystarcza, by znaleźć ustawienie.

Co klasa użytkownika może udowodnić, a czego nie

Klasa użytkownika DHCP to ciąg wysyłany przez klienta, a nie uwierzytelnione członkostwo w grupie. Nawet gdy klient jakiś wyśle, a serwer dopasuje do niego zasady, etykieta dowodzi tylko, że ciąg dotarł. RFC 3004 mówi wprost, że ta opcja nie uwierzytelnia prawa do klasy.

Nie oczekuj, że nazwa użytkownika VPN, identyfikator grupy zabezpieczeń albo adres Ethernet laptopa pojawią się w tym żądaniu w użytecznej postaci. To fakty dotyczące uwierzytelniania i katalogu, a żądanie DHCP nie niesie żadnego z nich. Jeśli wymogiem jest rozróżnianie osób upoważnionych, egzekwuj to w zasadach VPN, gdzie tożsamość naprawdę istnieje. Właśnie ten rozdział utrzymuje oba systemy niezależnymi.

Porównuj dowody, nie ACK

Zbuduj łańcuch dowodów zamiast czytać jeden pakiet. Zapisz adres, który otrzymała sesja, typ i pola żądania, opcje zwrócone przez serwer, a potem faktyczną konfigurację klienta. Każde ogniwo odpowiada na inne pytanie, a brakujące ogniwo to zwykle miejsce, w którym siedzi prawdziwa usterka.

Get-DhcpServerv4OptionValue -ScopeId 10.90.0.0

Jeśli adres przyszedł z puli RRAS, rezerwacja DHCP niczego nie wyjaśnia. Jeśli opcje dotarły, ale klient je zignorował, serwer zrobił swoje, a następnym przystankiem jest konfiguracja klienta. Porównaj te dwa wyniki wprost, a ACK przestaje być niejednoznaczny. Dwa ślady, po jednym z każdej metody przydzielania, rozstrzygają spór szybciej niż jakakolwiek dokumentacja.