Framed-IP-Address v RADIUS za stabilen naslov odjemalca VPN

RADIUS lahko odgovori z naslovom za določenega uporabnika; ali ga tunel resnično prejme, je odvisno od prehoda. Prav v tej vrzeli med vrnjenim in uporabljenim propade večina načrtov za stabilen naslov. Atribut v preskusnem odgovoru dokazuje, da ga strežnik lahko pošlje, ne pa da ga storitev oddaljenega dostopa uporabi. Spodnje zaporedje preveri obe polovici, preden naslov konča v pravilih požarnega zidu.

Odločite, katera plast ima naslov v lasti

Prehodi za oddaljeni dostop imajo običajno lokalni nabor in mnogi lahko sprejmejo naslov tudi iz odgovora za preverjanje pristnosti. Kateri od njiju zmaga, je odvisno od platforme, protokola in konfiguracije storitve, zato preberite pravilo prednosti za točno različico v uporabi. Kjer ima lokalni nabor prednost, je atribut le okras in odjemalec vseeno prispe na naključni naslov. Zapišite odločitev, vključno s tem, ali mora vrnjena vrednost ležati znotraj obsega nabora ali je lahko zunaj njega.

RFC 2865 opredeljuje Framed-IP-Address kot naslov, ki ga je treba konfigurirati za uporabnika, in ne pove ničesar o pripravljenosti določenega prehoda, da bi ga spoštoval. Dokumentacija dobavitelja je avtoriteta glede prednosti, ne opredelitev atributa.

Pošljite preskusno zahtevo in preberite odgovor

Najprej preskusite strežnik ločeno, da manjkajočega atributa ne zamenjate s težavo prehoda. radtest pošlje eno Access-Request in izpiše atribute, ki se vrnejo.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Poiščite Framed-IP-Address v Access-Accept in potrdite, da je vrednost predvidena in ne naslov nabora iz rezervnega pravila. Ko atributa ni, se uporabniški vnos ali politika avtorizacije ne ujemata in prilagajanje prehoda ne more zagotoviti, česar strežnik ni nikoli poslal. Ponovite zahtevo, medtem ko strežnik teče v načinu razhroščevanja, če je odgovor težko slediti do določenega pravila. Skupno skrivnost hranite zunaj zgodovine lupine in zahtevkov, ker zgornji nadomestni znak ni poverilnica.

Potrdite, da je prehod spoštoval vrednost

Pravilen odgovor je le polovica pogodbe. Naslov, ki se pojavi na vmesniku tunela, je opažanje, ki šteje, in se prebere na odjemalcu, namesto da bi se sklepal iz konfiguracije prehoda.

ip -4 addr show tun0

Primerjajte ta naslov z atributom iz Access-Accept. Neujemanje pomeni, da je prehod vrednost prezrl ali prepisal, kar znova odpre vprašanje prednosti iz prvega razdelka. Znova se povežite, ker rezervacija, ki deluje le ob prvem poskusu, običajno kaže na zastarelo sejo ali zakup, ki ga še vedno drži prejšnja povezava. Zapišite različico prehoda in protokol ob rezultatu, da bo naslednja oseba vedela, ali je vedenje odvisno od različice.

Načrtujte sočasnost in preklic

Eno uporabniško ime na dveh napravah ne more ustrezati enemu naslovu, razen če prehod loči seje po nečem drugem kot prijavi. Odločite, ali preslikava pripada osebi, registrirani napravi ali identiteti potrdila, in to izbiro jasno zapišite v shrambo politik. Preskusite drugega sočasnega odjemalca in primerjajte oba dodeljena naslova, saj se trčenje tu pozneje pojavi kot napaka usmerjanja. Enaka skrb sodi v načrt preklica, ker naslov, ki se znova dodeli, medtem ko stare regule požarnega zidu še vedno nanj kažejo, postane napaka avtorizacije.

Stabilno naslavljanje poenostavi pravila in dnevnike, vendar nikoli ne dokaže, kdo je ustvaril paket. Preverjanje pristnosti in avtorizacija cilja sta še vedno pomembna, ko se ta naslov pozneje preseli v drugo sejo.