Cilën adresë regjistroni si klient RADIUS të NPS?

Një portë VPN që ia dorëzon vërtetimin Windows NPS ka nevojë për një objekt në anën e NPS përpara se të ekzekutohet çdo politikë përdoruesi: një regjistrim klienti RADIUS për portën. Shumica e përpjekjeve të dështuara regjistrojnë adresën e gabuar, sepse adresa që ka rëndësi është ajo që porta përdor në rrugën e saj backend, jo emri i hostit që stafi shkruan në aplikacionin e tyre VPN. Nëse kjo vlerë është e gabuar, NPS e hedh kërkesën në heshtje, dhe kjo nga ana e klientit duket si fjalëkalim i gabuar. Tre kushte vendosin cila adresë i përket fushës, prandaj qartësojini para se të hapni konsolën.

Regjistroni portën, jo laptopët ose grupin

Objekti i klientit RADIUS përfaqëson pajisjen e aksesit në rrjet që dërgon kërkesat e vërtetimit. Ajo është porta VPN, jo çdo laptop që ekzekuton klientin dhe jo diapazoni i adresave që shpërndahen brenda tuneleve.

Ato adresa tuneli nuk shfaqen kurrë si burim i një kërkese RADIUS, sepse kërkesa udhëton në rrugën e rrjetit të vetë portës. Regjistrimi i një zëri të grupit të klientëve prodhon një politikë që nuk mund të përputhet kurrë, ndërsa kërkesa reale vjen nga një adresë për të cilën NPS nuk ka dëgjuar kurrë. I njëjti konfuzion i bën njerëzit të shtojnë IP-në e shtëpisë të çdo punonjësi, gjë që është njëkohësisht e pamenaxhueshme dhe e gabuar.

Tre kushte vendosin adresën që futni

Së pari, gjeni adresën burimore që porta përdor vërtet drejt NPS. Një portë me shumë ndërfaqe dërgon shpesh nga një ndërfaqe menaxhimi ose backend në vend të dëgjuesit të saj publik VPN. Së dyti, kontrolloni nëse ka NAT midis të dyjave: nëse kërkesa përkthehet, NPS sheh adresën e përkthyer, dhe ajo është vlera që duhet regjistruar. Së treti, nëse dy porta ndajnë rolin, çdo burim kërkese ka nevojë për regjistrimin e vet të klientit, sepse një objekt i vetëm me një adresë mbulon vetëm njërin prej tyre.

Një regjistrim me dy skaje e mban çiftin në rregull. Tabela më poshtë përdor adresa private si ilustrim, prandaj zëvendësojini me ato që rruga juaj përdor vërtet.

Konfirmoni burimin në vend që ta hamendësoni. Vëzhgoni regjistrin e NPS ose të murit të zjarrit gjatë një përpjekjeje, ose kapni në hostin NPS me sudo tcpdump -ni any udp port 1812. Adresa në atë kapje është përgjigjja e vetme e mbrojtshme për regjistrimin e klientit. Nëse porta ka disa burime të mundshme, regjistroni secilin nën emrin e vet miqësor.

Sekreti i përbashkët është një vlerë midis portës dhe NPS

Sekreti i përbashkët vërteton marrëdhënien e pajisjeve. Nuk është fjalëkalim përdoruesi dhe nuk shpërndahet kurrë te stafi as nuk futet në profilet e klientëve.

Zgjidhni një vlerë, futeni në të dyja vendet dhe ruajeni atje ku ndodhet kopja rezervë e konfigurimit të portës. Mospërputhja prodhon një kërkesë që NPS e hedh pa një gabim të dobishëm, dhe në regjistrin e portës kjo nuk dallohet nga një server i paarritshëm. Rrotullojeni gjatë një dritareje mirëmbajtjeje dhe përditësoni të dy skajet në të njëjtin ndryshim.

Konfirmoni me një kërkesë të lejuar

Përdorni një llogari të kontrolluar dhe lidhni një përpjekje të vetme në të dyja anët. Në portë, konfirmoni se kërkesa doli drejt serverit të synuar; në NPS, se ajo erdhi nga klienti i regjistruar dhe përputhej me politikën e pritur të kërkesës për lidhje. Skadimi i kohës dhe refuzimi nënkuptojnë gjëra të ndryshme, dhe trajtimi i të dyjave si problem kredencialesh humb orën tjetër. Më pas provoni një llogari të vlefshme por jo të kualifikuar dhe një fjalëkalim të gabuar, sepse një politikë që pranon gjithçka kalon edhe provën e parë.

Së fundi, kontrolloni çfarë bën porta me autorizimin e kthyer. Regjistrimi i një klienti RADIUS vetëm lejon pajisjen të marrë pjesë; nuk i jep çdo sesioni që rezulton akses në LAN.

Mbani daljen diagnostike të kufizuar: asnjë sekret i përbashkët, asnjë fjalëkalim përdoruesi, asnjë ngarkesë e plotë pakete në një biletë mbështetjeje. Nëse dizajni kërkon që serveri NPS të lexojë atribute drejtorie, ai leje është një detyrë administrative e ndarë nga regjistrimi i klientit, dhe kur mungon dështon në një mënyrë tjetër.