Framed-IP-Address u RADIUS-u za stabilnu adresu VPN klijenta

RADIUS može odgovoriti adresom za određenog korisnika; da li će je tunel zaista dobiti zavisi od pristupnika. Upravo u tom jazu između vraćenog i primenjenog propada većina planova za stabilnu adresu. Atribut u probnom odgovoru dokazuje da server može da ga pošalje, a ne da ga usluga daljinskog pristupa primenjuje. Redosled ispod proverava obe polovine pre nego što adresa završi u pravilima vatrozida.

Odlučite koji sloj poseduje adresu

Pristupnici za daljinski pristup obično imaju lokalni skup, a mnogi mogu prihvatiti i adresu iz odgovora za autentikaciju. Koji će pobediti zavisi od platforme, protokola i konfiguracije usluge, zato pročitajte pravilo prednosti za tačnu verziju koja se koristi. Gde lokalni skup ima prednost, atribut je samo ukras i klijent ipak završi na slučajnoj adresi. Zapišite odluku, uključujući da li vraćena vrednost mora biti unutar raspona skupa ili sme pasti izvan njega.

RFC 2865 definiše Framed-IP-Address kao adresu koju treba konfigurisati za korisnika i ne govori ništa o spremnosti pojedinog pristupnika da je poštuje. Dokumentacija proizvođača merodavna je za prednost, a ne definicija atributa.

Pošaljite probni zahtev i pročitajte odgovor

Najpre isprobajte server zasebno, da se atribut koji nedostaje ne zameni za problem pristupnika. radtest šalje jedan Access-Request i ispisuje atribute koji se vraćaju.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Potražite Framed-IP-Address u Access-Accept i potvrdite da je vrednost nameravana, a ne adresa skupa iz rezervnog pravila. Kad atribut nedostaje, korisnički zapis ili autorizaciona politika ne odgovaraju, a podešavanje pristupnika ne može pružiti ono što server nikad nije poslao. Ponovite zahtev dok server radi u režimu otklanjanja grešaka ako je odgovor teško pratiti do određenog pravila. Držite zajedničku tajnu izvan istorije ljuske i zahteva, jer gornja zamenska oznaka nije akreditiv.

Potvrdite da je pristupnik poštovao vrednost

Tačan odgovor je samo pola ugovora. Adresa koja se pojavi na interfejsu tunela je opažanje koje je važno, i čita se na klijentu umesto da se zaključuje iz konfiguracije pristupnika.

ip -4 addr show tun0

Uporedite tu adresu sa atributom iz Access-Accept. Neusaglašenost znači da je pristupnik zanemario ili prepisao vrednost, što ponovo otvara pitanje prednosti iz prvog odeljka. Povežite se još jednom, jer rezervacija koja radi samo na prvom pokušaju obično upućuje na zastarelu sesiju ili zakup koji još drži prethodna veza. Zabeležite verziju pristupnika i protokol uz rezultat, da sledeća osoba može da proceni da li je ponašanje specifično za verziju.

Planirajte istovremenost i opoziv

Jedno korisničko ime na dva uređaja ne može odgovarati jednoj adresi osim ako pristupnik razlikuje sesije po nečemu osim prijave. Odlučite da li mapiranje pripada osobi, registrovanom uređaju ili identitetu sertifikata, i tu odluku izričito navedite u skladištu politika. Isprobajte drugog istovremenog klijenta i uporedite obe dodeljene adrese, jer se sudar ovde kasnije vraća kao greška usmeravanja. Ista briga pripada planu opoziva, jer adresa koja se ponovo dodeli dok stare vatrozidne upute još upućuju na nju postaje bug autorizacije.

Stabilno adresiranje pojednostavljuje pravila i zapisnike, ali nikad ne dokazuje ko je stvorio paket. Autentikacija i autorizacija odredišta i dalje su važne kad se ta adresa kasnije preseli na drugu sesiju.