Framed-IP-Address v RADIUS pre stabilnú adresu klienta VPN

RADIUS môže odpovedať adresou pre konkrétneho používateľa; či ju tunel skutočne dostane, závisí od brány. Práve v tejto medzere medzi vráteným a uplatneným zlyháva väčšina plánov so stabilnou adresou. Atribút v testovacej odpovedi dokazuje, že ho server dokáže poslať, nie že ho služba vzdialeného prístupu uplatní. Nižšie uvedený postup kontroluje obe polovice, kým sa adresa dostane do pravidiel firewallu.

Rozhodnite, ktorá vrstva vlastní adresu

Brány vzdialeného prístupu zvyčajne majú lokálny fond a mnohé dokážu prijať adresu aj z autentizačnej odpovede. Ktorá z nich zvíťazí, závisí od platformy, protokolu a konfigurácie služby, preto si prečítajte pravidlo priority pre presnú používanú verziu. Tam, kde má lokálny fond prednosť, je atribút iba dekorácia a klient aj tak skončí na náhodnej adrese. Zapíšte rozhodnutie vrátane toho, či vrátená hodnota musí ležať v rozsahu fondu alebo môže byť mimo neho.

RFC 2865 definuje Framed-IP-Address ako adresu, ktorá sa má nakonfigurovať pre používateľa, a nič nehovorí o ochote konkrétnej brány rešpektovať ju. Dokumentácia dodávateľa je autoritou v otázke priority, nie definícia atribútu.

Pošlite testovaciu žiadosť a prečítajte odpoveď

Najprv otestujte server samostatne, aby sa chýbajúci atribút nezamenil za problém brány. radtest pošle jednu Access-Request a vypíše atribúty, ktoré sa vrátia.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Hľadajte Framed-IP-Address v Access-Accept a potvrďte, že hodnota je zamýšľaná a nie adresa fondu zo záložného pravidla. Keď atribút chýba, používateľský záznam alebo autorizačná politika sa nezhodujú a ladenie brány nemôže dodať to, čo server nikdy neposlal. Zopakujte žiadosť, kým server beží v režime ladenia, ak je odpoveď ťažké vystopovať ku konkrétnemu pravidlu. Uchovávajte zdieľané tajomstvo mimo histórie shellu a tiketov, pretože zástupný symbol vyššie nie je prihlasovací údaj.

Potvrďte, že brána hodnotu rešpektovala

Správna odpoveď je len polovica zmluvy. Adresa, ktorá sa objaví na rozhraní tunela, je pozorovanie, na ktorom záleží, a číta sa na klientovi, nie odvodzuje z konfigurácie brány.

ip -4 addr show tun0

Porovnajte túto adresu s atribútom z Access-Accept. Nezhoda znamená, že brána hodnotu ignorovala alebo prepísala, čo znovu otvára otázku priority z prvej časti. Pripojte sa ešte raz, pretože rezervácia, ktorá funguje iba na prvý pokus, zvyčajne poukazuje na zastaranú reláciu alebo prenájom, ktorý stále drží predchádzajúce spojenie. Poznamenajte verziu brány a protokol vedľa výsledku, aby ďalšia osoba vedela posúdiť, či je správanie špecifické pre verziu.

Naplánujte súbežnosť a odvolanie

Jedno používateľské meno na dvoch zariadeniach nemôže zodpovedať jednej adrese, ak brána nerozlišuje relácie niečím iným ako prihlásením. Rozhodnite, či mapovanie patrí osobe, zaregistrovanému zariadeniu alebo identite certifikátu, a túto voľbu výslovne uveďte v úložisku politík. Otestujte druhého súčasného klienta a porovnajte obe pridelené adresy, pretože kolízia sa tu neskôr objaví ako chyba smerovania. Rovnaká starostlivosť patrí do plánu odvolania, pretože adresa znova pridelená, kým na ňu staré pravidlá firewallu stále odkazujú, sa zmení na chybu autorizácie.

Stabilné adresovanie zjednodušuje pravidlá a záznamy, ale nikdy nedokáže, kto vytvoril paket. Autentizácia a autorizácia cieľa sú stále dôležité, keď sa táto adresa neskôr presunie do inej relácie.