VPN IP แบบคงที่: Framed-IP-Address ใน RADIUS หรือการจองในพูล

สามตำแหน่งสามารถเก็บที่อยู่ภายในแบบคงที่สำหรับไคลเอนต์ VPN และมีเพียงตำแหน่งเดียวเท่านั้นที่ควรเป็นเจ้าของ RADIUS สามารถส่งคืนที่อยู่ใน Access-Accept เกตเวย์สามารถเก็บการแมปแบบคงที่สำหรับบัญชี และอะแดปเตอร์ของไคลเอนต์สามารถตั้งค่าด้วยมือได้ สองอย่างแรกคือนโยบาย และอย่างที่สามคือการเดาในเครื่องที่เกตเวย์มีอิสระที่จะเพิกเฉยหรือเขียนทับ การเลือกระหว่างสองอย่างแรกคือการตัดสินใจจริง และขึ้นอยู่กับสิ่งที่เซิร์ฟเวอร์การเข้าถึงเครือข่ายนำไปใช้จริง

สามตำแหน่งที่ที่อยู่แบบคงที่สามารถอยู่ได้

RADIUS เป็นเจ้าของที่อยู่เมื่อคำตอบมี Framed-IP-Address และเกตเวย์นำค่านั้นไปใช้กับเซสชัน เกตเวย์เป็นเจ้าของเมื่อผู้ดูแลระบบแมปบัญชีไปยังที่อยู่แบบคงที่ภายในพูล ไคลเอนต์ไม่ได้เป็นเจ้าของสิ่งใด แม้ว่าอะแดปเตอร์จะแสดงที่อยู่ที่ตั้งด้วยมือ เพราะเซิร์ฟเวอร์กำหนดที่อยู่ภายในระหว่างการเจรจา และการตั้งค่าในเครื่องมีความสำคัญเฉพาะเมื่อเซิร์ฟเวอร์ไม่ส่งมาใด ๆ ทั้งสามอย่างดูเหมือนกันบนการเชื่อมต่อที่ทำงานได้ นั่นคือเหตุผลที่ความขัดแย้งปรากฏช้า ความแตกต่างจะเห็นเมื่อเชื่อมต่อใหม่ บนอุปกรณ์ที่สอง และหลังการเปลี่ยนแปลงนโยบาย

สองเจ้าของคือการกำหนดค่าที่พัง RADIUS ตอบกำหนด 172.28.4.77 ขณะที่เกตเวย์เก็บการแมปแบบคงที่สำหรับ 172.28.4.90 จะให้ค่าที่โค้ดของผู้ขายตรวจสอบก่อน และฝ่ายที่แพ้จะถูกทิ้งโดยไม่มีบรรทัดบันทึก บัญชีเดียวกันบนอุปกรณ์ที่สองจะได้ที่อยู่ซ้ำ และอาการจะอ่านได้เหมือนความผิดพลาดในการกำหนดเส้นทางมากกว่าความขัดแย้งในการจัดสรร ตัดสินเจ้าของก่อนที่จะเพิ่มกลไกที่สอง

ตัวเลือกฝั่งไคลเอนต์ควรกล่าวถึงเพียงเพื่อตัดออก ที่อยู่แบบตั้งด้วยมือเป็นเพียงการตั้งค่าที่ระบบปฏิบัติการอาจแสดง ไม่ใช่การจอง และไม่สามารถป้องกันเซสชันอื่นไม่ให้รับที่อยู่เดียวกันได้

สิ่งที่คำตอบ RADIUS สัญญาได้และสัญญาไม่ได้

RFC 2865กำหนด Framed-IP-Address เป็นที่อยู่ IPv4 ที่ต้องกำหนดค่าให้ผู้ใช้ และอยู่ใน Access-Accept แอตทริบิวต์เดียวกันใน Access-Request เป็นเพียงคำใบ้ที่เซิร์ฟเวอร์อาจเพิกเฉย ซึ่งสำคัญเมื่อไคลเอนต์หรือเกตเวย์เสนอที่อยู่ที่ต้องการ ไม่มีสิ่งใดในโปรโตคอลบังคับให้เกตเวย์ปฏิบัติตามคำตอบ เพราะเซิร์ฟเวอร์การเข้าถึงเครือข่ายคือองค์ประกอบที่นำไปใช้กับเซสชัน

การสนับสนุนเป็นคำถามเกี่ยวกับผลิตภัณฑ์ไม่ใช่โปรโตคอล เกตเวย์บางรุ่นใช้ที่อยู่แบบกรอบโดยค่าเริ่มต้น บางรุ่นต้องเปิดสวิตช์ระดับกลุ่มก่อนจึงจะทำได้ และบางรุ่นยอมรับแอตทริบิวต์แต่ไม่เคยใช้กับเซสชันการเข้าถึงจากระยะไกล กรณีหลังเป็นอันตราย เพราะบันทึกการบัญชีอาจแสดงคำตอบขณะที่ไคลเอนต์ได้รับที่อยู่จากพูล ยืนยันพฤติกรรมบนรุ่นเกตเวย์และเฟิร์มแวร์ที่คุณใช้งานจริง ไม่ใช่ในเอกสารของผลิตภัณฑ์พี่น้อง

คำตอบที่เกตเวย์เพิกเฉยดูเหมือนคำตอบที่ไม่เคยถูกส่งเลย การอ่าน Access-Accept และที่อยู่ของเซสชันเคียงกันเป็นวิธีเดียวที่จะแยกสองกรณีนั้น

จองที่อยู่ภายในพูลที่คุณกำหนดเส้นทางอยู่แล้ว

เลือกที่อยู่แบบคงที่จากซับเน็ตของพูลที่เกตเวย์กำหนดเส้นทางอยู่แล้วและไฟร์วอลล์ไว้วางใจอยู่แล้ว ที่อยู่นอกช่วงนั้นเปลี่ยนการเปลี่ยนแปลงนโยบายให้เป็นโครงการกำหนดเส้นทาง และ VPN จะขึ้นได้แต่ไม่มีสิ่งใดด้านหลังตอบกลับได้ หากมีกฎการเข้าถึงรายที่อยู่ ให้เพิ่มที่อยู่แบบคงที่เข้าไปในการเปลี่ยนแปลงเดียวกัน

ตัดสินว่าเซสชันที่สองพร้อมกันควรทำอะไร การจัดสรรที่อยู่เดียวสองครั้งไม่ใช่การจัดการอุปกรณ์ และการชนกันที่เกิดขึ้นจะปรากฏเป็นการเชื่อมต่อเป็นช่วง ๆ สำหรับทั้งสองเซสชัน จะออกเอกลักษณ์แยกตามอุปกรณ์ หรือการจัดสรรแยก หรือบังคับความพร้อมกันด้วยการตรวจสอบที่รองรับ เช่น Simultaneous-Use แทนที่จะหวังว่าไคลเอนต์จะไม่เชื่อมต่อใหม่ก่อนเซสชันเก่าหมดอายุ

เส้นทางขากลับสมควรได้รับความสนใจเท่าการจัดสรร เกตเวย์ต้องการเส้นทางไปยังพูล เราเตอร์ภายในต้องการเส้นทางกลับไปยังเกตเวย์ และที่อยู่แบบคงที่สืบทอดทั้งสอง ไคลเอนต์เดียวที่ทำงานได้ในขณะที่รายอื่นล้มเหลวทั้งหมดมักหมายความว่ามีเส้นทางของพูลแต่ไม่มีเส้นทางของโฮสต์สำหรับที่อยู่ที่จองไว้

ทดสอบคำตอบก่อนที่จะไว้วางใจการจอง

ทดสอบฝั่ง AAA และฝั่งเซสชันแยกกัน เพราะล้มเหลวด้วยเหตุผลต่างกัน radtest ในเครื่องแสดงสิ่งที่เซิร์ฟเวอร์ส่งคืนสำหรับบัญชีโดยไม่เกี่ยวข้องกับเกตเวย์ และรายการในไฟล์ผู้ใช้แสดงสิ่งที่เซิร์ฟเวอร์ควรจับคู่ จากนั้นเชื่อมต่อไคลเอนต์ใหม่และเปรียบเทียบที่อยู่ที่ได้รับกับแอตทริบิวต์ในคำตอบ

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Access-Accept ที่ไม่มีแอตทริบิวต์หมายความว่าเซิร์ฟเวอร์ไม่ตรงกับรายการหรือแอตทริบิวต์ไม่ได้ถูกนำไปใช้กับผู้ใช้รายนั้น Access-Accept ที่มีแอตทริบิวต์และไคลเอนต์ที่ยังได้รับที่อยู่จากพูลหมายความว่าเกตเวย์เพิกเฉย Access-Reject ส่งคุณกลับไปยังข้อมูลรับรองหรือนโยบายกลุ่ม และไม่มีผลลัพธ์ใดเหล่านี้ที่ควรแก้ไขโดยการแก้ไขอะแดปเตอร์ของไคลเอนต์

ทำซ้ำการตรวจสอบหลังเชื่อมต่อใหม่และหลังการเข้าสู่ระบบครั้งที่สองจากอุปกรณ์อื่น การจองที่คงอยู่เฉพาะเซสชันแรกคือความขัดแย้งของพูลที่รอเกิดขึ้น และหาได้ตอนนี้ถูกกว่าหาในระหว่างการตรวจสอบ

เลือกเจ้าของหนึ่งรายและเขียนมันลงไป

หากเกตเวย์ใช้ที่อยู่แบบกรอบได้อย่างน่าเชื่อถือ ให้ RADIUS เป็นเจ้าของการจัดสรรและลบการแมปแบบคงที่ใด ๆ สำหรับบัญชีเดียวกัน หากไม่ ให้เกตเวย์เป็นเจ้าของและลบแอตทริบิวต์ออกจากคำตอบ เพื่อให้สองแหล่งไม่สามารถขัดแย้งกัน การเก็บทั้งสองไว้เพราะแต่ละอย่างเกือบทำงานได้จะรับประกันว่าเซสชันในอนาคตจะมีที่อยู่ผิดและไม่มีสาเหตุที่ชัดเจน

เขียนเจ้าของที่เลือก ที่อยู่ที่จอง และพูลที่มันมาจากลงในบันทึกบัญชี คนถัดไปที่เพิ่มอุปกรณ์จะเห็นได้ว่าที่อยู่เป็นนโยบาย AAA หรือการแมปของเกตเวย์ก่อนที่จะเปลี่ยนอย่างใดอย่างหนึ่ง