Framed-IP-Address у RADIUS-у за стабилну адресу VPN клијента

RADIUS може да одговори адресом за одређеног корисника; да ли ће је тунел заиста добити зависи од приступника. Управо у том јазу између враћеног и примењеног пропада већина планова за стабилну адресу. Атрибут у пробном одговору доказује да сервер може да га пошаље, а не да га услуга даљинског приступа примењује. Редослед испод проверава обе половине пре него што адреса заврши у правилима заштитног зида.

Одлучите који слој поседује адресу

Приступници за даљински приступ обично имају локални скуп, а многи могу да прихвате и адресу из одговора за аутентикацију. Који ће победити зависи од платформе, протокола и конфигурације услуге, зато прочитајте правило приоритета за тачну верзију која се користи. Где локални скуп има приоритет, атрибут је само украс и клијент ипак заврши на случајној адреси. Запишите одлуку, укључујући да ли враћена вредност мора бити унутар распона скупа или сме пасти изван њега.

RFC 2865 дефинише Framed-IP-Address као адресу коју треба конфигурисати за корисника и не каже ништа о спремности одређеног приступника да је поштује. Документација произвођача је меродавна за приоритет, а не дефиниција атрибута.

Пошаљите пробни захтев и прочитајте одговор

Најпре испробајте сервер засебно, да се атрибут који недостаје не замени за проблем приступника. radtest шаље један Access-Request и исписује атрибуте који се враћају.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Потражите Framed-IP-Address у Access-Accept и потврдите да је вредност намеравана, а не адреса скупа из резервног правила. Кад атрибут недостаје, кориснички запис или политика ауторизације не одговарају, а подешавање приступника не може пружити оно што сервер никада није послао. Поновите захтев док сервер ради у режиму отклањања грешака ако је одговор тешко пратити до одређеног правила. Држите заједничку тајну изван историје љуске и захтева, јер горња заменска ознака није акредитив.

Потврдите да је приступник поштовао вредност

Тачан одговор је само половина уговора. Адреса која се појави на интерфејсу тунела је запажање које је важно, и чита се на клијенту уместо да се закључује из конфигурације приступника.

ip -4 addr show tun0

Упоредите ту адресу са атрибутом из Access-Accept. Неусклађеност значи да је приступник занемарио или преписао вредност, што поново отвара питање приоритета из првог одељка. Повежите се још једном, јер резервација која ради само на првом покушају обично упућује на застарелу сесију или закуп који још држи претходна веза. Забележите верзију приступника и протокол уз резултат, да следећа особа може да процени да ли је понашање специфично за верзију.

Планирајте истовременост и опозив

Једно корисничко име на два уређаја не може да одговара једној адреси осим ако приступник разликује сесије по нечему осим пријаве. Одлучите да ли мапирање припада особи, регистрованом уређају или идентитету сертификата, и ту одлуку изричито наведите у складишту политика. Испробајте другог истовременог клијента и упоредите обе додељене адресе, јер се судар овде касније враћа као грешка усмеравања. Иста брига припада плану опозива, јер адреса која се поново додели док старе смернице заштитног зида још упућују на њу постаје грешка ауторизације.

Стабилно адресирање поједностављује правила и записе, али никада не доказује ко је створио пакет. Аутентикација и ауторизација одредишта и даље су важне кад се та адреса касније пресели на другу сесију.