Fiksni VPN IP: Framed-IP-Address u RADIUS-u ili rezervacija u poolu

Tri mjesta mogu držati fiksnu unutrašnju adresu za VPN klijenta i samo jedno od njih treba da je posjeduje. RADIUS može vratiti adresu u Access-Accept, gateway može držati statično mapiranje za račun, a klijentski adapter se može postaviti ručno. Prva dva su politika, a treće je lokalna pretpostavka koju gateway može slobodno ignorisati ili prepisati. Izbor između prva dva je prava odluka i zavisi od toga šta mrežni pristupni server zaista implementira.

Tri mjesta na kojima fiksna adresa može živjeti

RADIUS posjeduje adresu kada odgovor nosi Framed-IP-Address i gateway primijeni tu vrijednost na sesiju. Gateway je posjeduje kada administrator mapira račun na statičnu adresu unutar poola. Klijent ne posjeduje ništa, čak i kada njegov adapter prikazuje ručnu adresu, jer server dodjeljuje unutrašnju adresu tokom pregovaranja, a lokalno podešavanje je važno samo kada server ne pošalje ništa. Sva tri izgledaju identično na radnoj vezi, zbog čega se konflikti pojavljuju kasno. Razlika se vidi pri ponovnom povezivanju, na drugom uređaju i nakon promjene politike.

Dva vlasnika je konfiguracija koja se lomi. Odgovor RADIUS-a dodjeljuje 172.28.4.77 dok gateway drži statično mapiranje za 172.28.4.90, što daje onu vrijednost koju kod proizvođača provjeri prvu, a gubitnik se odbacuje bez linije u logu. Isti račun na drugom uređaju tada dobija duplu adresu, a simptom se čita kao greška rutiranja, a ne kao konflikt dodjele. Riješite vlasnika prije nego dodate drugi mehanizam.

Klijentsku opciju vrijedi imenovati samo da bi se isključila. Ručna adresa adaptera je preferencija koju operativni sistem može prikazati, a ne rezervacija, i ne može spriječiti drugu sesiju da dobije istu adresu.

Šta RADIUS odgovor može, a šta ne može obećati

RFC 2865definira Framed-IP-Address kao IPv4 adresu koju treba konfigurisati za korisnika i ona pripada u Access-Accept. Isti atribut u Access-Request je samo nagovještaj koji server može ignorisati, što je važno kada klijent ili gateway ponudi preferiranu adresu. Ništa u protokolu ne obavezuje gateway da poštuje odgovor, jer je mrežni pristupni server komponenta koja ga primjenjuje na sesiju.

Podrška je pitanje proizvoda, a ne protokola. Neki gatewayi primjenjuju uokvirene adrese po defaultu, nekima treba uključen prekidač na nivou grupe prije nego to učine, a neki prihvataju atribut i nikada ga ne koriste za sesije daljinskog pristupa. Taj posljednji slučaj je opasan, jer računovodstveni zapis može pokazivati odgovor dok klijent prima adresu iz poola. Potvrdite ponašanje na tačnom modelu gatewaya i firmveru koji koristite, a ne u dokumentaciji srodnog proizvoda.

Odgovor koji gateway ignorira izgleda tačno kao odgovor koji nikada nije poslan. Čitanje Access-Accept-a i adrese sesije jedne pored druge jedini je način da se ta dva slučaja razdvoje.

Rezervišite adresu unutar poola koji već rutirate

Odaberite fiksnu adresu iz podmreže poola koju gateway već rutira i kojoj firewall već vjeruje. Adresa izvan tog opsega pretvara promjenu politike u projekt rutiranja i VPN će se podići dok ništa iza njega ne može odgovoriti. Ako postoje pravila pristupa po adresi, dodajte fiksnu adresu u njih u istoj promjeni.

Odlučite šta druga istovremena sesija treba da radi. Dodjela jedne adrese dvaput nije upravljanje uređajima, a nastali sudar se pojavljuje kao povremena povezanost za obje sesije. Ili izdajte različite identitete po uređaju, ili različite dodjele, ili nametnite istovremenost podržanom provjerom, kao što je Simultaneous-Use, umjesto da se nadate da se klijent nikada neće ponovo povezati prije nego što stara sesija istekne.

Povratne rute zaslužuju istu pažnju kao i dodjela. Gatewayu treba ruta do poola, unutrašnji ruteri trebaju rutu natrag do gatewaya, a fiksna adresa nasljeđuje obje. Jedan klijent koji radi dok svi ostali ne rade obično znači da ruta do poola postoji, ali ruta do hosta za rezervisanu adresu ne.

Testirajte odgovor prije nego što povjerujete rezervaciji

Testirajte AAA stranu i stranu sesije odvojeno, jer one padaju iz različitih razloga. Lokalni radtest pokazuje šta server vraća za račun bez uključivanja gatewaya, a unos u datoteci korisnika pokazuje s čim server treba da se poklopi. Zatim ponovo povežite klijenta i uporedite adresu koju je dobio s atributom u odgovoru.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Access-Accept bez atributa znači da server nije poklopio unos ili atribut nije primijenjen na tog korisnika. Access-Accept s atributom i klijent koji i dalje prima adresu iz poola znači da ga je gateway ignorisao. Access-Reject vas vraća na akreditive ili grupnu politiku i nijedan od ovih ishoda ne treba otklanjati uređivanjem klijentskog adaptera.

Ponovite provjeru nakon ponovnog povezivanja i nakon druge prijave s drugog uređaja. Rezervacija koja se drži samo za prvu sesiju je konflikt u poolu koji čeka da se dogodi, i jeftinije ga je naći sada nego tokom revizije.

Odaberite jednog vlasnika i zapišite ga

Ako gateway pouzdano primjenjuje uokvirene adrese, neka RADIUS posjeduje dodjelu i uklonite svako statično mapiranje za isti račun. Ako ne, neka ga gateway posjeduje i uklonite atribut iz odgovora, tako da se dva izvora ne mogu razilaziti. Zadržavanje oba jer svaki skoro radi garantuje buduću sesiju s pogrešnom adresom i bez očitog uzroka.

Zapišite odabranog vlasnika, rezervisanu adresu i pool iz kojeg dolazi u zapis računa. Sljedeća osoba koja dodaje uređaj moći će vidjeti da li je adresa AAA politika ili mapiranje na gatewayu prije nego promijeni bilo šta od toga.