IP VPN fikse: Framed-IP-Address në RADIUS ose një rezervim në pishinë

Tre vende mund të mbajnë një adresë të brendshme fikse për një klient VPN, dhe vetëm një prej tyre duhet ta zotërojë atë. RADIUS mund ta kthejë adresën në një Access-Accept, porta mund të mbajë një hartëzim statik për llogarinë, dhe përshtatësi i klientit mund të vendoset me dorë. Dy të parët janë politikë dhe i treti është një supozim lokal që porta është e lirë ta injorojë ose ta mbishkruajë. Zgjedhja midis dy të parëve është vendimi i vërtetë, dhe varet nga ajo që serveri i aksesit në rrjet zbaton në të vërtetë.

Tre vende ku mund të jetojë një adresë fikse

RADIUS e zotëron adresën kur përgjigjja mban Framed-IP-Address dhe porta e zbaton atë vlerë në sesion. Porta e zotëron kur një administrator e harton llogarinë në një adresë statike brenda pishinës. Klienti nuk zotëron asgjë, edhe kur përshtatësi i tij shfaq një adresë manuale, sepse serveri e cakton adresën e brendshme gjatë negocimit dhe një konfigurim lokal ka rëndësi vetëm kur serveri nuk dërgon asnjë. Të tre duken njësoj në një lidhje që funksionon, prandaj konfliktet dalin vonë. Dallimi shfaqet në rilidhje, në një pajisje të dytë dhe pas një ndryshimi politike.

Dy zotërues është konfigurimi që prishet. Një përgjigje RADIUS që cakton 172.28.4.77 ndërsa porta mban një hartëzim statik për 172.28.4.90 jep vlerën që kodi i furnizuesit kontrollon i pari, dhe humbësi hidhet pa një rresht log. E njëjta llogari në një pajisje të dytë merr atëherë një adresë të dyfishtë, dhe simptoma lexohet si defekt rrugëtimi dhe jo si konflikt caktimi. Vendosni zotëruesin përpara se të shtoni mekanizmin e dytë.

Opsioni nga ana e klientit ia vlen të përmendet vetëm për t’u përjashtuar. Një adresë manuale e përshtatësit është një preferencë që sistemi operativ mund ta paraqesë, jo një rezervim, dhe nuk mund të pengojë një sesion tjetër të marrë të njëjtën adresë.

Çfarë mund dhe çfarë nuk mund të premtojë përgjigjja e RADIUS

RFC 2865e përcakton Framed-IP-Address si adresën IPv4 që duhet konfiguruar për përdoruesin, dhe ajo i takon Access-Accept. I njëjti atribut në Access-Request është vetëm një sugjerim që serveri mund ta injorojë, dhe kjo ka rëndësi kur një klient ose portë ofron një adresë të preferuar. Asgjë në protokoll nuk e detyron portën ta respektojë përgjigjjen, sepse serveri i aksesit në rrjet është komponenti që e zbaton atë në sesion.

Mbështetja është çështje produkti dhe jo protokolli. Disa porta i zbatojnë adresat e kornizuara si parazgjedhje, të tjerat kanë nevojë për një çelës në nivel grupi të ndezur përpara se ta bëjnë, dhe të tjera e pranojnë atributin dhe nuk e përdorin kurrë për sesione aksesi në distancë. Rasti i fundit është i rrezikshëm, sepse regjistri i kontabilitetit mund të tregojë përgjigjjen ndërsa klienti merr një adresë nga pishina. Konfirmoni sjelljen në modelin e saktë të portës dhe firmware-in që përdorni, jo në dokumentacionin e një produkti motër.

Një përgjigje që porta e injoron duket saktësisht si një përgjigje që nuk u dërgua kurrë. Leximi i Access-Accept dhe i adresës së sesionit krah për krah është mënyra e vetme për t’i ndarë dy rastet.

Rezervojeni adresën brenda pishinës që tashmë e rrugëtoni

Zgjidhni adresën fikse nga nënrrjeti i pishinës që porta tashmë e rrugëton dhe që muri i zjarrit tashmë i beson. Një adresë jashtë atij intervali e kthen një ndryshim politike në një projekt rrugëtimi, dhe VPN-ja do të ngrihet ndërsa asgjë prapa saj nuk mund të përgjigjet. Nëse ekzistojnë rregulla aksesi për çdo adresë, shtoni adresën fikse tek ato në të njëjtin ndryshim.

Vendosni çfarë duhet të bëjë një sesion i dytë i njëkohshëm. Caktimi i një adrese dy herë nuk është menaxhim pajisjesh, dhe përplasja që rezulton shfaqet si lidhje e ndërprerë për të dy sesionet. Ose lëshoni identitete të ndryshme për çdo pajisje, ose caktime të ndryshme, ose impononi njëkohshmërinë me një kontroll të mbështetur, si për shembull Simultaneous-Use, në vend që të shpresoni se klienti nuk do të rilidhet kurrë përpara se sesioni i vjetër të skadojë.

Rrugët e kthimit meritojnë të njëjtën vëmendje si caktimi. Porta ka nevojë për një rrugë drejt pishinës, rrugëtuesit e brendshëm kanë nevojë për një rrugë kthimi drejt portës, dhe adresa fikse trashëgon të dyja. Një klient i vetëm që funksionon ndërsa të gjithë të tjerët dështojnë zakonisht do të thotë se rruga e pishinës ekziston, por rruga e hostit për adresën e rezervuar nuk ekziston.

Provoni përgjigjjen përpara se t’i besoni rezervimit

Provoni anën AAA dhe anën e sesionit veçmas, sepse dështojnë për arsye të ndryshme. Një radtest lokal tregon çfarë kthen serveri për llogarinë pa përfshirë portën, dhe hyrja në skedarin e përdoruesve tregon me çfarë duhet të përputhet serveri. Pastaj rilidhni klientin dhe krahasoni adresën e marrë me atributin në përgjigjje.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Një Access-Accept pa atributin do të thotë që serveri nuk e përputhi hyrjen ose atributi nuk u zbatua për atë përdorues. Një Access-Accept me atributin dhe një klient që vazhdon të marrë një adresë nga pishina do të thotë që porta e injoroi atë. Një Access-Reject ju kthen te kredencialet ose te politika e grupit, dhe asnjë prej këtyre rezultateve nuk duhet të korrigjohet duke redaktuar përshtatësin e klientit.

Përsëritni kontrollin pas një rilidhjeje dhe pas një hyrjeje të dytë nga një pajisje tjetër. Një rezervim që mbahet vetëm për sesionin e parë është një konflikt pishine që pret të ndodhë, dhe është më lirë ta gjesh tani sesa gjatë një auditimi.

Zgjidhni një zotërues dhe shkruajeni

Nëse porta i zbaton adresat e kornizuara me besueshmëri, lëreni RADIUS të zotërojë caktimin dhe hiqni çdo hartëzim statik për të njëjtën llogari. Nëse jo, lëreni portën ta zotërojë dhe hiqni atributin nga përgjigjja, që të dy burimet të mos mund të mospërputhen. Mbajtja e të dyjave sepse secila pothuajse funksionon garanton një sesion të ardhshëm me adresë të gabuar dhe pa shkak të dukshëm.

Shkruani zotëruesin e zgjedhur, adresën e rezervuar dhe pishinën nga e cila vjen në regjistrin e llogarisë. Personi i ardhshëm që shton një pajisje mund të shohë nëse adresa është politikë AAA apo hartëzim i portës përpara se të ndryshojë ndonjë nga të dyja.