Коју адресу региструјете као NPS RADIUS клијента?

VPN пролазник који предаје проверавање идентитета Windows NPS-у треба један објекат на страни NPS-а пре него што било која корисничка политика може да ради: унос RADIUS клијента за пролазник. Већина неуспешних покушаја региструје погрешну адресу, јер је важна адреса коју пролазник користи на својој backend путањи, а не име хоста које особље уписује у своју VPN апликацију. Ако је та вредност погрешна, NPS тихо одбацује захтев, што са стране клијента изгледа као погрешна лозинка. Која адреса припада пољу, одлучују три услова, зато их разјасните пре отварања конзоле.

Региструјте пролазник, не преносне рачунаре или скуп

Објекат RADIUS клијента представља мрежни приступни уређај који шаље захтеве за проверу идентитета. То је VPN пролазник, а не сваки преносни рачунар на коме ради клијент, и не распон адреса које се додељују унутар тунела.

Те адресе тунела се никада не појављују као извор RADIUS захтева, јер захтев путује сопственом мрежном путањом пролазника. Регистровање уноса скупа клијената ствара политику која се никада не може подударити, док стварни захтев долази са адресе за коју NPS никада није чуо. Иста забуна наводи људе да додају кућни IP сваког запосленог, што је истовремено неодрживо и погрешно.

Три услова одлучују адресу коју уносите

Прво, пронађите изворну адресу коју пролазник стварно користи према NPS-у. Пролазник са више интерфејса често шаље са управљачког или backend интерфејса, а не са свог јавног VPN слушаоца. Друго, проверите да ли између њих постоји NAT: ако се захтев преводи, NPS види преведену адресу, и то је вредност коју треба регистровати. Треће, ако два пролазника деле улогу, сваки извор захтева треба сопствени унос клијента, јер један објекат са једном адресом покрива само један од њих.

Запис са два краја држи пар уредним. Табела испод користи приватне адресе као илустрацију, зато их замените онима које ваша путања стварно користи.

Потврдите извор уместо да га погађате. Посматрајте дневник NPS-а или заштитног зида током једног покушаја или снимите на хосту NPS-а помоћу sudo tcpdump -ni any udp port 1812. Адреса у том снимку једини је одбрањив одговор за унос клијента. Ако пролазник има неколико могућих извора, региструјте сваки под његовим сопственим пријатељским именом.

Заједничка тајна је вредност између пролазника и NPS-а

Заједничка тајна потврђује однос уређаја. Она није корисничка лозинка и никада се не дели особљу нити уграђује у профиле клијената.

Изаберите једну вредност, унесите је на оба места и чувајте је тамо где је резервна копија конфигурације пролазника. Неслагање ствара захтев који NPS одбацује без корисне грешке, а то се у дневнику пролазника не може разликовати од недоступног сервера. Мењајте је у прозору за одржавање и ажурирајте оба краја у истој промени.

Потврдите једним дозвољеним захтевом

Користите контролисани налог и повежите један покушај на обе стране. На пролазнику потврдите да је захтев отишао ка предвиђеном серверу; на NPS-у да је стигао са регистрованог клијента и одговарао очекиваној политици захтева за везу. Истек времена и одбијање значе различите ствари, а третирање оба као проблема са акредитивима губи следећи сат. Затим тестирајте ваљан али неподобан налог и погрешну лозинку, јер политика која прихвата све пролази и први тест.

На крају проверите шта пролазник ради са враћеном ауторизацијом. Регистровање RADIUS клијента само дозвољава уређају да учествује; оно не даје свакој насталој сесији приступ LAN-у.

Држите дијагностички излаз ограниченим: без заједничких тајни, без корисничких лозинки, без целих садржаја пакета у тикету подршке. Ако пројекат захтева да NPS сервер чита атрибуте директоријума, та дозвола је одвојен административни задатак од регистрације клијента и када недостаје, не успева на други начин.