Фиксни VPN IP: Framed-IP-Address у RADIUS-у или резервација у пулу

Дајте VPN клијенту фиксну унутрашњу адресу: Framed-IP-Address у RADIUS-у наспрам мапирања у пулу на гејтвеју, и како да проверите која од њих заиста поседује резервацију.

Три места могу да држе фиксну унутрашњу адресу за VPN клијента, и само једно од њих би требало да је поседује. RADIUS може да врати адресу у Access-Accept, гејтвеј може да држи статичко мапирање за налог, а клијентски адаптер може да се подеси ручно. Прва два су политика, а треће је локална претпоставка коју гејтвеј може слободно да игнорише или препише. Избор између прва два је права одлука, и зависи од тога шта сервер за мрежни приступ заиста имплементира.

Три места на којима фиксна адреса може да живи

RADIUS поседује адресу када одговор носи Framed-IP-Address и гејтвеј примени ту вредност на сесију. Гејтвеј је поседује када администратор мапира налог на статичну адресу унутар пула. Клијент не поседује ништа, чак и када његов адаптер приказује ручну адресу, јер сервер додељује унутрашњу адресу током преговора, а локално подешавање је важно само када сервер ништа не шаље. Сва три изгледају исто на радној вези, због чега се конфликти појављују касно. Разлика се види при поновном повезивању, на другом уређају и после промене политике.

Два власника је конфигурација која се крши. Одговор RADIUS-а додељује 172.28.4.77 док гејтвеј држи статичко мапирање за 172.28.4.90, што даје вредност коју код произвођача проверава прву, а губитник се одбацује без линије у дневнику. Исти налог на другом уређају тада добија дупликат адресе, и симптом се чита као грешка у рутирању, а не као конфликт при додели. Одредите власника пре него што додате други механизам.

Опцију на страни клијента вреди именовати само да би се искључила. Ручна адреса адаптера је преференција коју оперативни систем може да прикаже, не резервација, и не може да спречи другу сесију да добије исту адресу.

Шта одговор RADIUS-а може, а шта не може да обећа

RFC 2865дефинише Framed-IP-Address као IPv4 адресу коју треба конфигурисати за корисника, и она припада Access-Accept-у. Исти атрибут у Access-Request-у је само наговештај који сервер може да игнорише, што је важно када клијент или гејтвеј нуди преферирану адресу. Ништа у протоколу не приморава гејтвеј да поштује одговор, јер је сервер за мрежни приступ та компонента која га примењује на сесију.

Подршка је питање производа, а не протокола. Неки гејтвеји примењују уоквирене адресе подразумевано, другима је потребно укључено прекидач на нивоу групе, а трећи прихватају атрибут и никада га не користе за сесије удаљеног приступа. Последњи случај је опасан, јер евиденција књиговодства може да показује одговор док клијент добија адресу из пула. Потврдите понашање на тачном моделу гејтвеја и фирмверу који покрећете, не у документацији сестринског производа.

Одговор који гејтвеј игнорише изгледа тачно као одговор који никада није послат. Читање Access-Accept-а и адресе сесије једно поред другог једини је начин да се та два случаја раздвоје.

Резервишите адресу у пулу који већ рутирате

Изаберите фиксну адресу из подмреже пула коју гејтвеј већ рутира и којој заштитни зид већ верује. Адреса ван тог опсега претвара промену политике у пројекат рутирања, и VPN ће се подићи док ништа иза њега не може да одговори. Ако постоје правила приступа по адреси, додајте фиксну адресу у њих у истој промени.

Одлучите шта друга истовремена сесија треба да ради. Додела једне адресе два пута није управљање уређајима, а настали сукоб се појављује као повремена повезаност за обе сесије. Или издајте различите идентитете по уређају, или различите доделе, или наметните истовременост подржаном провером, као на пример Simultaneous-Use, уместо да се надате да се клијент никада неће поново повезати пре него што стара сесија истекне.

Повратне руте заслужују исту пажњу као додела. Гејтвеју је потребна рута до пула, унутрашњим рутерима је потребна рута назад до гејтвеја, и фиксна адреса наслеђује обе. Један клијент који ради док сви остали не успевају обично значи да рута пула постоји, али рута до хоста за резервисану адресу не.

Тестирајте одговор пре него што поверујете резервацији

Тестирајте страну AAA и страну сесије одвојено, јер оне не успевају из различитих разлога. Локални radtest показује шта сервер враћа за налог без укључивања гејтвеја, а запис у датотеци корисника показује са чим сервер треба да се поклопи. Затим поново повежите клијента и упоредите добијену адресу са атрибутом у одговору.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77
survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Access-Accept без атрибута значи да сервер није поклопио запис или да атрибут није примењен на тог корисника. Access-Accept са атрибутом и клијент који и даље добија адресу из пула значи да га је гејтвеј игнорисао. Access-Reject вас враћа на акредитиве или групну политику, и ниједан од ових исхода не би требало отклањати уређивањем клијентског адаптера.

Поновите проверу после поновног повезивања и после другог пријављивања са другог уређаја. Резервација која се држи само за прву сесију је конфликт у пулу који чека да се догоди, и јефтиније је наћи га сада него током ревизије.

Изаберите једног власника и запишите га

Ако гејтвеј поуздано примењује уоквирене адресе, нека RADIUS поседује доделу и уклоните свако статичко мапирање за исти налог. Ако не, нека га гејтвеј поседује и уклоните атрибут из одговора, тако да два извора не могу да се разиђу. Држање оба јер свако скоро ради гарантује будућу сесију са погрешном адресом и без очигледног разлога.

Запишите изабраног власника, резервисану адресу и пул из ког долази у запис налога. Следећа особа која дода уређај моћи ће да види да ли је адреса AAA политика или мапирање на гејтвеју пре него што промени било шта од тога.

Повезани чланци