Ktorú adresu registrujete ako klienta RADIUS pre NPS?

Brána VPN, ktorá odovzdáva overovanie Windows NPS, potrebuje na strane NPS jeden objekt, kým môže fungovať akákoľvek používateľská politika: záznam klienta RADIUS pre bránu. Väčšina neúspešných pokusov registruje nesprávnu adresu, pretože dôležitá je adresa, ktorú brána používa na svojej backendovej ceste, nie názov hostiteľa, ktorý zamestnanci zadávajú do svojej aplikácie VPN. Ak je táto hodnota nesprávna, NPS požiadavku ticho zahodí, čo zo strany klienta vyzerá ako nesprávne heslo. O tom, ktorá adresa patrí do poľa, rozhodujú tri podmienky, preto si ich vyjasnite pred otvorením konzoly.

Registrujte bránu, nie notebooky ani fond

Objekt klienta RADIUS predstavuje zariadenie sieťového prístupu, ktoré odosiela žiadosti o overenie. To je brána VPN, nie každý notebook, na ktorom beží klient, a nie rozsah adries prideľovaných vnútri tunelov.

Tieto adresy tunelov sa nikdy neobjavia ako zdroj požiadavky RADIUS, pretože požiadavka putuje vlastnou sieťovou cestou brány. Registrácia záznamu fondu klientov vytvára politiku, ktorá nikdy nemôže zodpovedať, zatiaľ čo skutočná požiadavka prichádza z adresy, o ktorej NPS nikdy nepočul. Rovnaký zmätok vedie k tomu, že ľudia pridávajú domácu IP každého zamestnanca, čo je zároveň neudržateľné aj nesprávne.

O adrese, ktorú zadávate, rozhodujú tri podmienky

Najprv nájdite zdrojovú adresu, ktorú brána skutočne používa smerom k NPS. Brána s viacerými rozhraniami často odosiela z riadiaceho alebo backendového rozhrania namiesto svojho verejného VPN poslucháča. Po druhé skontrolujte, či je medzi nimi NAT: ak sa požiadavka prekladá, NPS vidí preloženú adresu, a to je hodnota, ktorú treba registrovať. Po tretie, ak dve brány zdieľajú rolu, každý zdroj požiadaviek potrebuje vlastný záznam klienta, pretože jeden objekt s jednou adresou pokrýva len jeden z nich.

Záznam s dvoma koncami drží dvojicu v poriadku. Tabuľka nižšie používa súkromné adresy ako ilustráciu, preto ich nahraďte tými, ktoré vaša cesta skutočne používa.

Zdroj potvrďte, namiesto toho, aby ste ho hádali. Počas jedného pokusu sledujte protokol NPS alebo firewallu, alebo zachyťte na hostiteľovi NPS pomocou sudo tcpdump -ni any udp port 1812. Adresa v tomto zachytení je jediná obhájiteľná odpoveď pre záznam klienta. Ak má brána niekoľko možných zdrojov, zaregistrujte každý pod jeho vlastným priateľským názvom.

Spoločné tajomstvo je hodnota medzi bránou a NPS

Spoločné tajomstvo overuje vzťah zariadení. Nie je to používateľské heslo a nikdy sa neposkytuje zamestnancom ani nevkladá do profilov klientov.

Vyberte jednu hodnotu, zadajte ju na oboch miestach a uložte ju tam, kde žije záloha konfigurácie brány. Nezhoda vytvorí požiadavku, ktorú NPS zahodí bez užitočnej chyby, a v protokole brány to nemožno odlíšiť od nedostupného servera. Rotujte ju v okne údržby a aktualizujte oba konce v tej istej zmene.

Potvrďte jednou povolenou požiadavkou

Použite riadený účet a spojte jeden pokus na oboch stranách. Na bráne potvrďte, že požiadavka odišla zamýšľanému serveru; v NPS, že prišla z registrovaného klienta a zodpovedala očakávanej politike žiadostí o pripojenie. Vypršanie a odmietnutie znamenajú rôzne veci a liečba oboch ako problému s prihlasovacími údajmi stráca ďalšiu hodinu. Potom otestujte platný, ale nespôsobilý účet a nesprávne heslo, pretože politika, ktorá prijíma všetko, prejde aj prvým testom.

Nakoniec skontrolujte, čo brána robí s vráteným oprávnením. Registrácia klienta RADIUS len umožňuje zariadeniu zúčastniť sa; neudeľuje každej vzniknutej relácii prístup do LAN.

Udržujte diagnostický výstup obmedzený: žiadne spoločné tajomstvá, žiadne používateľské heslá, žiadne úplné obsahy paketov v tikete podpory. Ak návrh vyžaduje, aby server NPS čítal atribúty adresára, toto povolenie je samostatná administratívna úloha od registrácie klienta, a keď chýba, zlyháva inak.