RRAS DHCP: adresă nouă sau doar opțiuni de configurare?

Să citești un DHCPACK într-o captură ca dovadă că clientul VPN și-a primit adresa de la DHCP este o greșeală. De obicei dovedește doar că s-a răspuns la un mesaj DHCP oarecare. Windows RRAS poate distribui adrese de sesiune din propriul pool static, în timp ce DHCP încă furnizează opțiuni clientului conectat. Tipul cererii îți spune care dintre cele două sarcini era în curs.

Două sarcini care împart un tip de mesaj

DHCP face două lucruri separate, iar ele împart tipuri de mesaj. Unul este alocarea unei adrese și a unui bail. Celălalt este livrarea configurației către o gazdă care are deja o adresă, ceea ce RFC 2131 numește DHCPINFORM. Răspunsul în al doilea caz poartă opțiuni și niciun timp de bail.

Deci un ACK este dovada unui răspuns, nu dovada unei alocări. Mesajul dinaintea lui decide ce întrebare a fost pusă. Citește mai întâi linia cererii, iar restul urmei se explică de obicei singur.

De unde ia RRAS adresa

RRAS deține decizia privind adresa VPN prin metoda de atribuire IPv4 configurată: fie un server DHCP, fie un pool static de adrese. Când poolul este static, poolul este cel care alocă, iar o rezervare pe un server DHCP separat nu are niciun cuvânt în acea sesiune. Cele două mecanisme pot coexista în aceeași rețea fără ca unul să îl controleze pe celălalt.

Get-Command -Module RemoteAccess *IPAddress*

Află metoda de atribuire în vigoare înainte de a investiga adresa. Dacă este un pool static, domeniul DHCP este locul greșit unde să te uiți. Comanda de mai sus listează cmdlet-urile disponibile în versiunea pe care o rulezi, iar asta este suficient pentru a găsi setarea.

Ce poate și ce nu poate dovedi o clasă de utilizator

O clasă de utilizator DHCP este un șir pe care clientul îl trimite, nu o apartenență la grup autentificată. Chiar și când un client trimite unul și serverul aplică o politică pe el, eticheta dovedește doar că șirul a ajuns. RFC 3004 spune limpede că opțiunea nu autentifică dreptul la clasă.

Nu te aștepta ca un nume de utilizator VPN, un identificator de grup de securitate sau adresa Ethernet a laptopului să apară în acea cerere într-o formă utilizabilă. Sunt fapte de autentificare și de director, iar cererea DHCP nu le poartă pe niciuna. Dacă cerința este să distingi persoanele autorizate, aplică-o în politica VPN, acolo unde identitatea există cu adevărat. Această separare este motivul pentru care cele două sisteme rămân independente.

Compară dovezile, nu ACK-ul

Construiește lanțul de dovezi în loc să citești un singur pachet. Notează adresa primită de sesiune, tipul și câmpurile cererii, opțiunile returnate de server și apoi configurația efectivă a clientului. Fiecare verigă răspunde la o altă întrebare, iar veriga lipsă este de obicei locul unde se află defectul real.

Get-DhcpServerv4OptionValue -ScopeId 10.90.0.0

Dacă adresa a venit din poolul RRAS, o rezervare DHCP nu explică nimic. Dacă opțiunile au ajuns, dar clientul le-a ignorat, serverul și-a făcut treaba, iar configurația clientului este următoarea oprire. Compară explicit aceste două rezultate și ACK-ul nu mai este ambiguu. Două urme, una pentru fiecare metodă de atribuire, închid discuția mai repede decât orice documentație.