Ce adresă înregistrați ca client RADIUS al NPS?

Un gateway VPN care predă autentificarea către Windows NPS are nevoie de un obiect pe partea NPS înainte ca orice politică de utilizator să ruleze: o intrare de client RADIUS pentru gateway. Majoritatea încercărilor eșuate înregistrează adresa greșită, pentru că adresa care contează este cea folosită de gateway pe calea sa de backend, nu numele de host pe care personalul îl tastează în aplicația VPN. Dacă acea valoare e greșită, NPS aruncă cererea în tăcere, ceea ce din partea clientului arată ca o parolă greșită. Trei condiții decid ce adresă aparține câmpului, așa că lămuriți-le înainte de a deschide consola.

Înregistrați gateway-ul, nu laptopurile sau pool-ul

Obiectul de client RADIUS reprezintă dispozitivul de acces la rețea care trimite cereri de autentificare. Acesta este gateway-ul VPN, nu fiecare laptop care rulează clientul și nu intervalul de adrese acordat în interiorul tunelurilor.

Acele adrese de tunel nu apar niciodată ca sursă a unei cereri RADIUS, pentru că cererea călătorește pe calea de rețea proprie a gateway-ului. Înregistrarea unei intrări de pool de clienți produce o politică ce nu poate corespunde niciodată, în timp ce cererea reală sosește de la o adresă de care NPS nu a auzit niciodată. Aceeași confuzie îi face pe oameni să adauge IP-ul de acasă al fiecărui angajat, ceea ce este deopotrivă de nesustenabil și greșit.

Trei condiții decid adresa pe care o introduceți

Mai întâi, găsiți adresa sursă pe care gateway-ul o folosește efectiv spre NPS. Un gateway cu mai multe interfețe trimite adesea dintr-o interfață de administrare sau de backend, nu din ascultătorul VPN public. În al doilea rând, verificați dacă există NAT între cele două: dacă cererea este tradusă, NPS vede adresa tradusă, iar aceea este valoarea de înregistrat. În al treilea rând, dacă două gateway-uri împart rolul, fiecare sursă de cereri are nevoie de propria intrare de client, pentru că un singur obiect cu o adresă acoperă doar unul dintre ele.

O înregistrare cu două capete ține perechea în ordine. Tabelul de mai jos folosește adrese private ca ilustrație, așa că înlocuiți-le cu cele pe care calea dumneavoastră le folosește efectiv.

Confirmați sursa în loc să o ghiciți. Urmăriți jurnalul NPS sau al firewall-ului în timpul unei încercări sau capturați pe gazda NPS cu sudo tcpdump -ni any udp port 1812. Adresa din acea captură este singurul răspuns defendabil pentru intrarea de client. Dacă gateway-ul are mai multe surse posibile, înregistrați fiecare sub propriul nume prietenos.

Secretul partajat este o valoare între gateway și NPS

Secretul partajat autentifică relația dintre dispozitive. Nu este o parolă de utilizator și nu este niciodată distribuit personalului sau încorporat în profilurile clienților.

Alegeți o valoare, introduceți-o în ambele locuri și păstrați-o acolo unde se află copia de siguranță a configurației gateway-ului. O nepotrivire produce o cerere pe care NPS o aruncă fără o eroare utilă, iar în jurnalul gateway-ului acest lucru nu se poate distinge de un server inaccesibil. Rotiți-o într-o fereastră de mentenanță și actualizați ambele capete în aceeași modificare.

Confirmați cu o cerere permisă

Folosiți un cont controlat și corelați o singură încercare pe ambele părți. Pe gateway, confirmați că cererea a plecat spre serverul dorit; în NPS, că a venit de la clientul înregistrat și a corespuns politicii de cerere de conexiune așteptate. Expirarea timpului și respingerea înseamnă lucruri diferite, iar tratarea ambelor ca o problemă de acreditări pierde următoarea oră. Apoi testați un cont valid, dar neeligibil, și o parolă greșită, pentru că o politică ce acceptă tot trece și primul test.

În final, verificați ce face gateway-ul cu autorizarea returnată. Înregistrarea unui client RADIUS permite doar dispozitivului să participe; nu acordă acces la LAN fiecărei sesiuni rezultate.

Țineți ieșirea de diagnostic limitată: fără secrete partajate, fără parole de utilizator, fără încărcături complete de pachete într-un tichet de asistență. Dacă proiectul cere ca serverul NPS să citească atribute de director, acea permisiune este o sarcină administrativă separată de înregistrarea clientului, iar când lipsește eșuează în alt mod.