Kateri naslov registrirate kot odjemalca RADIUS za NPS?

Prehod VPN, ki preverjanje pristnosti preda Windows NPS, potrebuje na strani NPS en objekt, preden lahko deluje katera koli uporabniška politika: vnos odjemalca RADIUS za prehod. Večina neuspešnih poskusov registrira napačen naslov, ker je pomemben naslov tisti, ki ga prehod uporablja na svoji backend poti, ne ime gostitelja, ki ga osebje vtipka v svojo aplikacijo VPN. Če je ta vrednost napačna, NPS zahtevo tiho zavrže, kar s strani odjemalca izgleda kot napačno geslo. Kateri naslov spada v polje, odločajo trije pogoji, zato jih razčistite pred odpiranjem konzole.

Registrirajte prehod, ne prenosnikov ali nabora

Objekt odjemalca RADIUS predstavlja omrežno dostopno napravo, ki pošilja zahteve za preverjanje pristnosti. To je prehod VPN, ne vsak prenosnik, na katerem teče odjemalec, in ne obseg naslovov, ki se dodeljujejo znotraj tunelov.

Ti naslovi tunelov se nikoli ne pojavijo kot vir zahteve RADIUS, ker zahteva potuje po lastni omrežni poti prehoda. Registracija vnosa nabora odjemalcev ustvari politiko, ki se nikoli ne more ujemati, medtem ko resnična zahteva prihaja z naslova, o katerem NPS ni nikoli slišal. Ista zmeda vodi ljudi k dodajanju domačega IP vsakega zaposlenega, kar je hkrati nevzdržno in napačno.

Vneseni naslov odločajo trije pogoji

Najprej poiščite izvorni naslov, ki ga prehod dejansko uporablja proti NPS. Prehod z več vmesniki pogosto pošilja z upravljalnega ali backend vmesnika namesto s svojega javnega poslušalca VPN. Drugič, preverite, ali je med njima NAT: če se zahteva prevaja, NPS vidi prevedeni naslov, in to je vrednost, ki jo je treba registrirati. Tretjič, če si dva prehoda delita vlogo, vsak vir zahtev potrebuje svoj vnos odjemalca, ker en objekt z enim naslovom pokriva samo enega od njiju.

Zapis z dvema koncema drži par urejen. Spodnja tabela uporablja zasebne naslove za ponazoritev, zato jih zamenjajte s tistimi, ki jih vaša pot dejansko uporablja.

Potrdite vir, namesto da bi ga ugibali. Med enim poskusom opazujte dnevnik NPS ali požarnega zidu ali zajemite na gostitelju NPS z sudo tcpdump -ni any udp port 1812. Naslov v tem zajemu je edini branljiv odgovor za vnos odjemalca. Če ima prehod več možnih virov, registrirajte vsakega pod njegovim lastnim prijaznim imenom.

Skupna skrivnost je vrednost med prehodom in NPS

Skupna skrivnost overja odnos naprav. Ni uporabniško geslo in se nikoli ne deli osebju ali vgrajuje v profile odjemalcev.

Izberite eno vrednost, vnesite jo na obeh mestih in jo shranite tam, kjer je varnostna kopija konfiguracije prehoda. Neujemanje ustvari zahtevo, ki jo NPS zavrže brez koristne napake, in tega v dnevniku prehoda ni mogoče ločiti od nedosegljivega strežnika. Vrtite jo v oknu za vzdrževanje in posodobite oba konca v isti spremembi.

Potrdite z eno dovoljeno zahtevo

Uporabite nadzorovan račun in povežite en poskus na obeh straneh. Na prehodu potrdite, da je zahteva odšla proti predvidenemu strežniku; v NPS, da je prispela z registriranega odjemalca in ustrezala pričakovani politiki zahtev za povezavo. Potek časa in zavrnitev pomenita različne stvari, obravnavanje obojega kot težave s poverilnicami pa izgubi naslednjo uro. Nato preizkusite veljaven, a neustrezen račun in napačno geslo, ker politika, ki sprejme vse, prestane tudi prvi preizkus.

Na koncu preverite, kaj prehod naredi z vrnjeno avtorizacijo. Registracija odjemalca RADIUS napravi le dovoli sodelovanje; ne daje vsaki nastali seji dostopa do LAN.

Diagnostični izhod naj bo omejen: brez skupnih skrivnosti, brez uporabniških gesel, brez celotnih koristi paketov v zahtevku za podporo. Če zasnova zahteva, da strežnik NPS bere atribute imenika, je to dovoljenje ločena administrativna naloga od registracije odjemalca, in ko ga ni, spodleti drugače.