RRAS DHCP: nová adresa alebo len konfiguračné možnosti?

Čítať DHCPACK v zázname ako dôkaz, že klient VPN dostal adresu z DHCP, je chyba. Zvyčajne to dokazuje len to, že na nejakú správu DHCP bolo odpovedané. Windows RRAS môže rozdávať adresy relácie z vlastného statického fondu, zatiaľ čo DHCP stále dodáva možnosti pripojenému klientovi. Typ požiadavky vám povie, ktorá z tých dvoch úloh prebiehala.

Dve úlohy, ktoré zdieľajú typ správy

DHCP robí dve oddelené veci a obe zdieľajú typy správ. Jedna je pridelenie adresy a prenájmu. Druhá je doručenie konfigurácie hostiteľovi, ktorý už adresu má, čo RFC 2131 nazýva DHCPINFORM. Odpoveď v druhom prípade nesie možnosti a žiadny čas prenájmu.

Takže ACK je dôkaz odpovede, nie dôkaz pridelenia. Správa pred ním rozhoduje o tom, ktorá otázka bola položená. Prečítajte najskôr riadok požiadavky a zvyšok stopy sa zvyčajne vysvetlí sám.

Odkiaľ RRAS berie adresu

RRAS vlastní rozhodnutie o adrese VPN prostredníctvom svojej nakonfigurovanej metódy prideľovania IPv4: buď servera DHCP, alebo statického fondu adries. Keď je fond statický, fond je prideľujúcim prvkom a rezervácia na samostatnom serveri DHCP do tejto relácie nehovorí. Oba mechanizmy môžu na tej istej sieti existovať vedľa seba bez toho, aby jeden ovládal druhý.

Get-Command -Module RemoteAccess *IPAddress*

Zistite platnú metódu prideľovania, skôr než začnete hľadať chybu v adrese. Ak ide o statický fond, rozsah DHCP je nesprávne miesto. Vyššie uvedený príkaz vypíše rutiny dostupné vo vašej verzii a to stačí na nájdenie nastavenia.

Čo trieda používateľa môže a čo nemôže dokázať

Trieda používateľa DHCP je reťazec, ktorý klient posiela, nie overené členstvo v skupine. Aj keď klient nejaký pošle a server naň použije pravidlo, štítok dokazuje len to, že reťazec dorazil. RFC 3004 hovorí jasne, že táto možnosť neoveruje nárok na triedu.

Nečakajte, že sa v tej požiadavke objaví používateľské meno VPN, identifikátor bezpečnostnej skupiny alebo ethernetová adresa notebooku v použiteľnej podobe. Sú to fakty o overovaní a o adresári a požiadavka DHCP nenesie ani jedno. Ak je požiadavkou rozlíšiť oprávnených ľudí, presadzujte to v pravidlách VPN, kde identita skutočne existuje. Práve toto oddelenie drží oba systémy nezávislé.

Porovnávajte dôkazy, nie ACK

Zostavte reťazec dôkazov namiesto čítania jedného paketu. Zapíšte adresu, ktorú relácia dostala, typ a polia požiadavky, možnosti, ktoré server vrátil, a potom skutočnú konfiguráciu klienta. Každý článok odpovedá na inú otázku a chýbajúci článok je miesto, kde zvyčajne sedí skutočná porucha.

Get-DhcpServerv4OptionValue -ScopeId 10.90.0.0

Ak adresa prišla z fondu RRAS, rezervácia DHCP nič nevysvetľuje. Ak možnosti dorazili, ale klient ich ignoroval, server urobil svoju prácu a ďalšou zastávkou je konfigurácia klienta. Porovnajte tieto dva výsledky výslovne a ACK prestane byť nejednoznačný. Dve stopy, jedna pre každú metódu prideľovania, uzavrú spor rýchlejšie než akákoľvek dokumentácia.