Unasajili anwani ipi kama mteja wa RADIUS wa NPS?

Lango la VPN linalokabidhi uthibitishaji kwa Windows NPS linahitaji kitu kimoja upande wa NPS kabla sera yoyote ya mtumiaji kufanya kazi: ingizo la mteja wa RADIUS kwa lango hilo. Majaribio mengi yaliyoshindikana husajili anwani isiyo sahihi, kwa sababu anwani muhimu ni ile ambayo lango hutumia kwenye njia yake ya backend, sio jina la mwenyeji ambalo wafanyakazi huandika kwenye programu yao ya VPN. Iwapo thamani hiyo si sahihi, NPS hutupa ombi kimya kimya, jambo ambalo kwa upande wa mteja huonekana kama nenosiri lisilo sahihi. Masharti matatu huamua ni anwani ipi inayostahili uwanja huo, kwa hivyo yafafanue kabla ya kufungua konsoli.

Sajili lango, sio kompyuta za mkononi au kundi

Kitu cha mteja wa RADIUS kinawakilisha kifaa cha ufikiaji wa mtandao kinachotuma maombi ya uthibitishaji. Hilo ni lango la VPN, sio kila kompyuta ya mkononi inayoendesha mteja, na sio safu ya anwani zinazogawiwa ndani ya vichuguu.

Anwani hizo za vichuguu hazionekani kamwe kama chanzo cha ombi la RADIUS, kwa sababu ombi husafiri kwenye njia ya mtandao ya lango lenyewe. Kusajili ingizo la kundi la wateja huzalisha sera isiyoweza kulingana kamwe, huku ombi halisi likija kutoka anwani ambayo NPS haijasikia kamwe. Mkanganyiko huo huo huwafanya watu kuongeza IP ya nyumbani ya kila mfanyakazi, jambo ambalo kwa wakati mmoja haliwezi kudumishwa na si sahihi.

Masharti matatu huamua anwani unayoweka

Kwanza, pata anwani ya chanzo ambayo lango hutumia kweli kuelekea NPS. Lango lenye violesura vingi mara nyingi hutuma kutoka kiolesura cha usimamizi au backend badala ya kusikiliza VPN yake ya umma. Pili, angalia kama kuna NAT kati ya vyote viwili: ikiwa ombi linatafsiriwa, NPS huona anwani iliyotafsiriwa, na hiyo ndiyo thamani ya kusajili. Tatu, ikiwa malango mawili yanashiriki jukumu, kila chanzo cha ombi linahitaji ingizo lake la mteja, kwa sababu kitu kimoja chenye anwani moja hushughulikia kimoja tu kati yao.

Kumbukumbu yenye ncha mbili huiweka jozi sawa. Jedwali lililo hapa chini hutumia anwani za kibinafsi kama mfano, kwa hivyo badilisha zile ambazo njia yako hutumia kweli.

Thibitisha chanzo badala ya kukidhania. Tazama kumbukumbu ya NPS au firewall wakati wa jaribio moja, au nasa kwenye mwenyeji wa NPS kwa sudo tcpdump -ni any udp port 1812. Anwani iliyo kwenye kunasa huko ndiyo jibu pekee linaloweza kutetewa kwa ingizo la mteja. Ikiwa lango lina vyanzo kadhaa vinavyowezekana, sajili kila kimoja chini ya jina lake la kirafiki.

Siri inayoshirikiwa ni thamani kati ya lango na NPS

Siri inayoshirikiwa huthibitisha uhusiano wa vifaa. Sio nenosiri la mtumiaji na haigawiwi kamwe kwa wafanyakazi wala haiingizwi kwenye wasifu wa wateja.

Chagua thamani moja, iweke katika sehemu zote mbili, na uihifadhi mahali ambapo nakala rudufu ya usanidi wa lango ipo. Kutokulingana huzalisha ombi ambalo NPS hutupa bila hitilafu yenye manufaa, na hilo kwenye kumbukumbu ya lango haliwezi kutofautishwa na seva isiyoweza kufikiwa. Ibadilishe wakati wa dirisha la matengenezo na usasishe ncha zote mbili katika mabadiliko yale yale.

Thibitisha kwa ombi moja lililoruhusiwa

Tumia akaunti iliyodhibitiwa na unganisha jaribio moja kwa pande zote mbili. Kwenye lango, thibitisha kwamba ombi liliondoka kuelekea seva iliyokusudiwa; kwenye NPS, kwamba lilifika kutoka kwa mteja aliyesajiliwa na lililingana na sera ya ombi la muunganisho iliyotarajiwa. Muda kuisha na kukataliwa humaanisha mambo tofauti, na kuchukua yote mawili kama tatizo la vitambulisho hupoteza saa inayofuata. Kisha jaribu akaunti halali lakini isiyostahiki na nenosiri lisilo sahihi, kwa sababu sera inayokubali kila kitu hufaulu pia jaribio la kwanza.

Hatimaye, angalia lango hufanya nini na idhini inayorudishwa. Kusajili mteja wa RADIUS hukuruhusu kifaa kushiriki tu; haitoi kila kikao kinachotokana na hilo ufikiaji wa LAN.

Weka matokeo ya uchunguzi kwa mipaka: hakuna siri zinazoshirikiwa, hakuna nenosiri za watumiaji, hakuna mizigo kamili ya pakiti kwenye tiketi ya msaada. Ikiwa muundo unahitaji seva ya NPS kusoma sifa za saraka, idhini hiyo ni kazi tofauti ya kiutawala kutoka usajili wa mteja, na inapokosekana hushindwa kwa namna nyingine.