IP VPN fix: Framed-IP-Address în RADIUS sau o rezervare în pool

Trei locuri pot păstra o adresă internă fixă pentru un client VPN, și doar unul dintre ele ar trebui să o dețină. RADIUS poate returna adresa într-un Access-Accept, gateway-ul poate păstra o mapare statică pentru cont, iar adaptorul clientului poate fi setat manual. Primele două sunt politică, iar al treilea este o presupunere locală pe care gateway-ul este liber să o ignore sau să o suprascrie. Alegerea între primele două este decizia reală și depinde de ceea ce implementează efectiv serverul de acces la rețea.

Trei locuri unde poate locui o adresă fixă

RADIUS deține adresa când răspunsul poartă Framed-IP-Address și gateway-ul aplică acea valoare sesiunii. Gateway-ul o deține când un administrator mapează contul la o adresă statică din pool. Clientul nu deține nimic, chiar și când adaptorul său arată o adresă manuală, pentru că serverul atribuie adresa internă în timpul negocierii, iar o setare locală contează doar când serverul nu trimite niciuna. Toate trei arată identic pe o conexiune funcțională, de aceea conflictele apar târziu. Diferența se vede la reconectare, pe un al doilea dispozitiv și după o schimbare de politică.

Doi proprietari este configurația care se rupe. Un răspuns RADIUS care atribuie 172.28.4.77 în timp ce gateway-ul păstrează o mapare statică pentru 172.28.4.90 oferă valoarea pe care codul producătorului o verifică prima, iar perdantul este aruncat fără o linie de jurnal. Același cont pe un al doilea dispozitiv primește atunci o adresă duplicată, iar simptomul se citește ca o defecțiune de rutare și nu ca un conflict de alocare. Stabiliți proprietarul înainte de a adăuga al doilea mecanism.

Opțiunea din partea clientului merită numită doar pentru a putea fi exclusă. O adresă manuală a adaptorului este o preferință pe care sistemul de operare o poate afișa, nu o rezervare, și nu poate împiedica o altă sesiune să primească aceeași adresă.

Ce poate și ce nu poate promite răspunsul RADIUS

RFC 2865definește Framed-IP-Address ca adresa IPv4 care trebuie configurată pentru utilizator, și ea aparține de Access-Accept. Același atribut din Access-Request este doar un indiciu pe care serverul îl poate ignora, ceea ce contează când un client sau un gateway oferă o adresă preferată. Nimic din protocol nu obligă gateway-ul să respecte răspunsul, pentru că serverul de acces la rețea este componenta care îl aplică sesiunii.

Suportul este o chestiune de produs, nu de protocol. Unele gateway-uri aplică adrese încadrate implicit, altele au nevoie de un comutator la nivel de grup activat înainte de a o face, iar altele acceptă atributul și nu îl folosesc niciodată pentru sesiuni de acces la distanță. Ultimul caz este periculos, pentru că înregistrarea de contabilitate poate arăta răspunsul în timp ce clientul primește o adresă din pool. Confirmați comportamentul pe modelul exact de gateway și pe firmware-ul pe care îl rulați, nu în documentația unui produs soră.

Un răspuns pe care gateway-ul îl ignoră arată exact ca un răspuns care nu a fost trimis niciodată. Citirea Access-Accept și a adresei sesiunii una lângă alta este singura modalitate de a separa cele două cazuri.

Rezervați adresa în pool-ul pe care îl rutați deja

Alegeți adresa fixă din subrețeaua pool-ului pe care gateway-ul o rutează deja și în care firewall-ul are deja încredere. O adresă în afara acelui interval transformă o schimbare de politică într-un proiect de rutare, iar VPN-ul va porni în timp ce nimic din spatele lui nu va putea răspunde. Dacă există reguli de acces pe adresă, adăugați adresa fixă la ele în aceeași modificare.

Decideți ce ar trebui să facă o a doua sesiune simultană. Atribuirea unei adrese de două ori nu este administrare de dispozitive, iar coliziunea rezultată apare ca o conectivitate intermitentă pentru ambele sesiuni. Fie emiteți identități distincte pe dispozitiv, fie atribuiri distincte, fie impuneți simultaneitatea cu o verificare acceptată, cum ar fi Simultaneous-Use, în loc să sperați că clientul nu se va reconecta niciodată înainte ca sesiunea veche să expire.

Rutele de retur merită aceeași atenție ca atribuirea. Gateway-ul are nevoie de o rută către pool, routerele interne au nevoie de o rută înapoi la gateway, iar adresa fixă le moștenește pe amândouă. Un singur client care funcționează în timp ce toți ceilalți eșuează înseamnă de obicei că ruta pool-ului există, dar ruta de gazdă pentru adresa rezervată nu.

Testați răspunsul înainte de a avea încredere în rezervare

Testați partea AAA și partea de sesiune separat, pentru că eșuează din motive diferite. Un radtest local arată ce returnează serverul pentru cont fără a implica gateway-ul, iar intrarea din fișierul de utilizatori arată cu ce ar trebui să se potrivească serverul. Apoi reconectați clientul și comparați adresa primită cu atributul din răspuns.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Un Access-Accept fără atribut înseamnă că serverul nu a potrivit intrarea sau că atributul nu a fost aplicat acelui utilizator. Un Access-Accept cu atribut și un client care primește în continuare o adresă din pool înseamnă că gateway-ul l-a ignorat. Un Access-Reject vă trimite înapoi la acreditări sau la politica de grup, iar niciunul dintre aceste rezultate nu ar trebui depanat prin editarea adaptorului clientului.

Repetați verificarea după o reconectare și după o a doua autentificare de pe alt dispozitiv. O rezervare care rezistă doar pentru prima sesiune este un conflict de pool care așteaptă să se întâmple, și este mai ieftin să îl găsiți acum decât în timpul unui audit.

Alegeți un singur proprietar și scrieți-l

Dacă gateway-ul aplică adresele încadrate în mod fiabil, lăsați RADIUS să dețină atribuirea și eliminați orice mapare statică pentru același cont. Dacă nu, lăsați gateway-ul să o dețină și eliminați atributul din răspuns, astfel încât cele două surse să nu poată fi în dezacord. Păstrarea ambelor pentru că fiecare aproape funcționează garantează o sesiune viitoare cu adresa greșită și fără o cauză evidentă.

Scrieți proprietarul ales, adresa rezervată și pool-ul din care provine în înregistrarea contului. Următoarea persoană care adaugă un dispozitiv va putea vedea dacă adresa este o politică AAA sau o mapare a gateway-ului înainte de a schimba oricare dintre ele.