RADIUS Framed-IP-Address สำหรับที่อยู่ไคลเอนต์ VPN ที่คงที่

RADIUS สามารถตอบกลับด้วยที่อยู่สำหรับผู้ใช้ที่ระบุได้ แต่อุโมงค์จะได้รับที่อยู่จริงหรือไม่นั้นขึ้นอยู่กับเกตเวย์ แผนที่อยู่คงที่ส่วนใหญ่ล้มเหลวในช่องว่างระหว่างค่าที่ส่งคืนกับค่าที่นำไปใช้ แอตทริบิวต์ในคำตอบทดสอบพิสูจน์ว่าเซิร์ฟเวอร์ส่งได้ ไม่ได้พิสูจน์ว่าบริการการเข้าถึงระยะไกลนำไปใช้ ลำดับด้านล่างตรวจสอบทั้งสองส่วนก่อนที่ที่อยู่จะไปอยู่ในกฎไฟร์วอลล์

ตัดสินใจว่าชั้นใดเป็นเจ้าของที่อยู่

เกตเวย์การเข้าถึงระยะไกลมักมีพูลในเครื่อง และหลายตัวยอมรับที่อยู่จากคำตอบการรับรองความถูกต้องได้ด้วย การที่จะชนะขึ้นอยู่กับแพลตฟอร์ม โปรโตคอล และการกำหนดค่าบริการ ดังนั้นอ่านกฎลำดับความสำคัญสำหรับรุ่นที่ใช้อยู่จริง ในที่ที่พูลในเครื่องมีลำดับความสำคัญสูงกว่า แอตทริบิวต์เป็นเพียงสิ่งประดับและไคลเอนต์ก็ยังลงเอยที่ที่อยู่แบบสุ่ม จดการตัดสินใจไว้ รวมถึงว่าค่าที่ส่งคืนต้องอยู่ในช่วงของพูลหรือออกนอกช่วงได้

RFC 2865 กำหนด Framed-IP-Address เป็นที่อยู่ที่ควรกำหนดให้ผู้ใช้ และไม่ได้กล่าวถึงความยินดีของเกตเวย์เฉพาะรายที่จะเคารพค่านั้น เอกสารของผู้ผลิตคือผู้มีอำนาจเรื่องลำดับความสำคัญ ไม่ใช่คำนิยามของแอตทริบิวต์

ส่งคำขอทดสอบและอ่านคำตอบ

ทดสอบเซิร์ฟเวอร์แยกก่อน เพื่อไม่ให้แอตทริบิวต์ที่หายไปถูกเข้าใจผิดว่าเป็นปัญหาเกตเวย์ radtest ส่ง Access-Request หนึ่งรายการและพิมพ์แอตทริบิวต์ที่ส่งกลับมา

radtest alice 'S3cret' 127.0.0.1 0 testing123

ค้นหา Framed-IP-Address ใน Access-Accept และยืนยันว่าค่านั้นเป็นค่าที่ต้องการ ไม่ใช่ที่อยู่พูลจากกฎสำรอง เมื่อแอตทริบิวต์หายไป รายการผู้ใช้หรือนโยบายการอนุญาตไม่ตรงกัน และการปรับแต่งเกตเวย์ไม่สามารถให้สิ่งที่เซิร์ฟเวอร์ไม่เคยส่งได้ ทำคำขอซ้ำขณะเซิร์ฟเวอร์ทำงานในโหมดดีบักหากติดตามคำตอบไปยังกฎเฉพาะได้ยาก เก็บความลับร่วมให้พ้นประวัติเชลล์และตั๋ว เพราะตัวยึดตำแหน่งด้านบนไม่ใช่ข้อมูลรับรอง

ยืนยันว่าเกตเวย์เคารพค่า

คำตอบที่ถูกต้องเป็นเพียงครึ่งหนึ่งของสัญญา ที่อยู่ที่ปรากฏบนอินเทอร์เฟซอุโมงค์คือสิ่งที่สังเกตได้จริง และอ่านได้จากไคลเอนต์แทนที่จะอนุมานจากการกำหนดค่าเกตเวย์

ip -4 addr show tun0

เปรียบเทียบที่อยู่นั้นกับแอตทริบิวต์จาก Access-Accept ความไม่ตรงกันหมายความว่าเกตเวย์เพิกเฉยหรือเขียนค่าใหม่ ซึ่งเปิดคำถามเรื่องลำดับความสำคัญจากส่วนแรกอีกครั้ง เชื่อมต่ออีกครั้ง เพราะการจองที่ใช้ได้เฉพาะครั้งแรกมักชี้ไปที่เซสชันเก่าหรือสัญญาเช่าที่ยังถูกยึดโดยการเชื่อมต่อก่อนหน้า บันทึกรุ่นของเกตเวย์และโปรโตคอลไว้ข้างผลลัพธ์ เพื่อให้คนถัดไปรู้ว่าพฤติกรรมนั้นขึ้นกับรุ่นหรือไม่

วางแผนสำหรับการทำงานพร้อมกันและการเพิกถอน

ชื่อผู้ใช้เดียวบนอุปกรณ์สองเครื่องไม่สามารถแมปไปยังที่อยู่เดียวได้ เว้นแต่เกตเวย์แยกเซสชันด้วยสิ่งอื่นนอกเหนือจากการเข้าสู่ระบบ ตัดสินใจว่าการแมปเป็นของบุคคล อุปกรณ์ที่ลงทะเบียน หรือตัวตนใบรับรอง และระบุตัวเลือกนั้นอย่างชัดเจนในที่เก็บนโยบาย ทดสอบไคลเอนต์ที่ทำงานพร้อมกันตัวที่สองและเปรียบเทียบที่อยู่ที่กำหนดให้ทั้งสอง เพราะการชนกันตรงนี้จะปรากฏอีกครั้งในภายหลังเป็นข้อผิดพลาดด้านเส้นทาง ความระมัดระวังแบบเดียวกันจำเป็นในแผนการเพิกถอน เพราะที่อยู่ที่ถูกกำหนดใหม่ขณะที่กฎไฟร์วอลล์เก่ายังอ้างถึงอยู่จะกลายเป็นข้อบกพร่องด้านการอนุญาต

การกำหนดที่อยู่แบบคงที่ทำให้กฎและบันทึกง่ายขึ้น แต่ไม่เคยพิสูจน์ว่าใครสร้างแพ็กเก็ต การรับรองความถูกต้องและการอนุญาตปลายทางยังคงสำคัญเมื่อที่อยู่นั้นย้ายไปยังเซสชันอื่นในภายหลัง