Framed-IP-Address i RADIUS për një adresë të qëndrueshme klienti VPN

RADIUS mund të përgjigjet me një adresë për një përdorues të caktuar; nëse tuneli e merr vërtet varet nga gateway. Pikërisht në këtë hendek midis të kthyerit dhe të zbatuarit dështojnë shumica e planeve për adresë të qëndrueshme. Një atribut në një përgjigje testuese provon se serveri mund ta dërgojë, jo se shërbimi i aksesit në distancë e zbaton. Sekuenca më poshtë kontrollon të dyja gjysmat përpara se adresa të përfundojë në rregullat e firewall-it.

Vendosni cila shtresë e zotëron adresën

Gateway-t e aksesit në distancë zakonisht kanë një grup lokal, dhe shumë mund të pranojnë edhe një adresë nga përgjigja e autentikimit. Cila fiton varet nga platforma, protokolli dhe konfigurimi i shërbimit, prandaj lexoni rregullin e përparësisë për versionin e saktë në përdorim. Aty ku grupi lokal ka përparësi, atributi është vetëm zbukurim dhe klienti përsëri përfundon në një adresë të rastësishme. Shkruani vendimin, duke përfshirë nëse një vlerë e kthyer duhet të qëndrojë brenda intervalit të grupit ose mund të bjerë jashtë tij.

RFC 2865 e përcakton Framed-IP-Address si adresën që duhet konfiguruar për përdoruesin, dhe nuk thotë asgjë për gatishmërinë e një gateway-i të caktuar për ta respektuar. Dokumentacioni i furnitorit është autoriteti për përparësinë, jo përcaktimi i atributit.

Dërgoni një kërkesë testuese dhe lexoni përgjigjen

Testoni së pari serverin veçmas, që një atribut që mungon të mos ngatërrohet me një problem të gateway-t. radtest dërgon një Access-Request dhe shtyp atributet që kthehen.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Kërkoni Framed-IP-Address në Access-Accept dhe konfirmoni se vlera është ajo e synuar dhe jo një adresë grupi nga një rregull rezervë. Kur atributi mungon, zëri i përdoruesit ose politika e autorizimit nuk përputhen, dhe rregullimi i gateway-t nuk mund të sigurojë atë që serveri nuk e ka dërguar kurrë. Përsëritni kërkesën ndërsa serveri punon në modalitetin e korrigjimit nëse përgjigja është e vështirë të gjurmohet deri në një rregull të caktuar. Mbajeni sekretin e përbashkët jashtë historikut të shell-it dhe biletave, sepse mbajtësi i vendit më sipër nuk është kredencial.

Konfirmoni se gateway-i e respektoi vlerën

Një përgjigje e saktë është vetëm gjysma e kontratës. Adresa që shfaqet në ndërfaqen e tunelit është vëzhgimi që ka rëndësi, dhe lexohet në klient në vend që të nxirret nga konfigurimi i gateway-t.

ip -4 addr show tun0

Krahasoni atë adresë me atributin nga Access-Accept. Një mospërputhje do të thotë që gateway-i e injoroi ose e rishkruajti vlerën, gjë që rihap çështjen e përparësisë nga seksioni i parë. Rilidhuni edhe një herë, sepse një rezervim që funksionon vetëm në provën e parë zakonisht tregon një sesion të vjetruar ose një qira që ende mbahet nga lidhja e mëparshme. Shënoni versionin e gateway-t dhe protokollin pranë rezultatit, që personi tjetër të mund të gjykojë nëse sjellja varet nga versioni.

Planifikoni njëkohësinë dhe revokimin

Një emër përdoruesi në dy pajisje nuk mund të pasqyrohet në një adresë të vetme, përveç nëse gateway-i i dallon sesionet me diçka përtej hyrjes. Vendosni nëse pasqyrimi i përket një personi, një pajisjeje të regjistruar ose një identiteti certifikate, dhe bëjeni këtë zgjedhje të qartë në depon e politikave. Testoni një klient të dytë të njëkohshëm dhe krahasoni të dy adresat e caktuara, sepse një përplasje këtu rishfaqet më vonë si një gabim rrugëtimi. E njëjta kujdes duhet edhe në planin e revokimit, sepse një adresë e ricaktuar ndërsa rregullat e vjetra të firewall-it ende i referohen asaj kthehet në një gabim autorizimi.

Adresimi i qëndrueshëm thjeshton rregullat dhe regjistrat, por nuk provon kurrë kush e krijoi një paketë. Autentikimi dhe autorizimi i destinacionit mbeten të rëndësishëm kur ajo adresë më vonë kalon në një sesion tjetër.