Fixed na VPN IP: Framed-IP-Address sa RADIUS o isang reserbasyon sa pool

Tatlong lugar ang maaaring maghawak ng fixed na panloob na address para sa isang kliyente ng VPN, at isa lamang sa kanila ang dapat magmay-ari nito. Maaaring ibalik ng RADIUS ang address sa isang Access-Accept, maaaring maghawak ang gateway ng static na mapping para sa account, at maaaring itakda nang manu-mano ang adapter ng kliyente. Ang unang dalawa ay patakaran at ang pangatlo ay lokal na haka-haka na malayang balewalain o i-overwrite ng gateway. Ang pagpili sa pagitan ng unang dalawa ang tunay na desisyon, at depende ito sa aktwal na ipinapatupad ng network access server.

Tatlong lugar kung saan maaaring manirahan ang fixed na address

Pagmamay-ari ng RADIUS ang address kapag dala ng tugon ang Framed-IP-Address at inilalapat ng gateway ang halagang iyon sa session. Pagmamay-ari ito ng gateway kapag naka-map ang account ng isang administrator sa isang static na address sa loob ng pool. Wala namang pagmamay-ari ang kliyente, kahit nagpapakita ang adapter nito ng manu-manong address, dahil ang server ang naglalaan ng panloob na address habang nag-uusap, at ang lokal na setting ay may halaga lamang kapag walang ipinapadala ang server. Magkapareho ang itsura ng tatlo sa gumaganang koneksyon, kaya nahuhuli ang mga salungatan. Makikita ang pagkakaiba kapag muling kumonekta, sa ikalawang aparato at pagkatapos ng pagbabago ng patakaran.

Dalawang may-ari ang configuration na nasisira. Ang tugon ng RADIUS na naglalaan ng 172.28.4.77 habang may static na mapping ang gateway para sa 172.28.4.90 ay nagbibigay ng halagang unang sinusuri ng code ng vendor, at itinatapon ang natatalo nang walang linya sa log. Ang parehong account sa ikalawang aparato ay tumatanggap ng doble na address, at ang sintomas ay binabasa na parang routing fault sa halip na salungatan sa paglalaan. Magpasya sa may-ari bago magdagdag ng ikalawang mekanismo.

Ang opsyon sa panig ng kliyente ay dapat banggitin lamang upang maalis ito. Ang manu-manong address ng adapter ay isang kagustuhan na maaaring ipakita ng operating system, hindi isang reserbasyon, at hindi nito mapipigilan ang ibang session na makatanggap ng parehong address.

Ano ang maaaring at hindi maaaring ipangako ng tugon ng RADIUS

RFC 2865tinutukoy ang Framed-IP-Address bilang ang IPv4 address na dapat i-configure para sa user, at kabilang ito sa Access-Accept. Ang parehong attribute sa Access-Request ay pahiwatig lamang na maaaring balewalain ng server, na mahalaga kapag may iniaalok na ginustong address ang kliyente o gateway. Walang anumang bagay sa protocol na nagpipilit sa gateway na igalang ang tugon, dahil ang network access server ang component na naglalapat nito sa session.

Ang suporta ay tanong ng produkto at hindi ng protocol. May mga gateway na naglalapat ng naka-frame na address bilang default, may nangangailangan ng switch sa antas ng grupo bago gawin iyon, at may tumatanggap ng attribute at hindi kailanman ginagamit ito para sa remote-access session. Ang huling kaso ang mapanganib, dahil maaaring ipakita ng accounting record ang tugon habang tumatanggap ng pool address ang kliyente. Kumpirmahin ang pag-uugali sa eksaktong modelo ng gateway at firmware na pinapatakbo ninyo, hindi sa dokumentasyon ng kapatid na produkto.

Ang tugon na binabalewala ng gateway ay mukhang eksaktong tugon na hindi kailanman naipadala. Ang pagbasa sa Access-Accept at sa address ng session nang magkatabi ang tanging paraan upang paghiwalayin ang dalawang kaso.

Ireserba ang address sa loob ng pool na ruta na ninyo

Piliin ang fixed na address mula sa subnet ng pool na ruta na ng gateway at pinagkakatiwalaan na ng firewall. Ang address sa labas ng saklaw na iyon ay gagawing proyekto ng routing ang pagbabago ng patakaran, at aakyat ang VPN habang walang makakasagot sa likod nito. Kung may mga tuntunin sa pag-access bawat address, idagdag ang fixed na address sa mga iyon sa parehong pagbabago.

Magpasya kung ano ang dapat gawin ng ikalawang sabay na session. Ang paglalaan ng isang address nang dalawang beses ay hindi pamamahala ng aparato, at ang resultang banggaan ay lumilitaw bilang pasulput-sulpot na koneksyon para sa dalawang session. Alinman sa mag-isyu ng magkaibang pagkakakilanlan bawat aparato, magkaibang paglalaan, o ipatupad ang sabay-sabay gamit ang sinusuportahang pagsusuri, tulad ng Simultaneous-Use, sa halip na umasa na hindi na muling kumonekta ang kliyente bago mag-expire ang lumang session.

Ang mga return route ay karapat-dapat sa parehong atensyon tulad ng paglalaan. Kailangan ng gateway ng ruta papunta sa pool, kailangan ng mga panloob na router ng rutang pabalik sa gateway, at namamana ng fixed na address ang dalawa. Ang isang kliyenteng gumagana habang nabigo ang lahat ng iba ay karaniwang nangangahulugang may ruta ng pool ngunit wala ang host route para sa reserved na address.

Subukin ang tugon bago magtiwala sa reserbasyon

Subukin ang panig ng AAA at ang panig ng session nang hiwalay, dahil nabigo sila sa magkaibang dahilan. Ang isang radtest lokal ay nagpapakita kung ano ang ibinabalik ng server para sa account nang hindi isinasali ang gateway, at ang entry sa users file ay nagpapakita kung ano ang dapat itugma ng server. Pagkatapos ay muling ikonekta ang kliyente at ihambing ang natanggap na address sa attribute sa tugon.

Authenticated member: survey-tablet-17
Reply attribute:      Framed-IP-Address = 172.28.4.77

survey-tablet-17  Cleartext-Password := "REPLACE_ME"
                  Framed-IP-Address = 172.28.4.77

radtest survey-tablet-17 REPLACE_ME 127.0.0.1 0 testing123

Ang Access-Accept na walang attribute ay nangangahulugang hindi itinugma ng server ang entry o hindi inilapat ang attribute sa user na iyon. Ang Access-Accept na may attribute at kliyenteng tumatanggap pa rin ng pool address ay nangangahulugang binabalewala ito ng gateway. Ang Access-Reject ay nagpapabalik sa iyo sa mga kredensyal o sa patakaran ng grupo, at wala sa mga resultang ito ang dapat i-debug sa pamamagitan ng pag-edit sa adapter ng kliyente.

Ulitin ang pagsusuri pagkatapos ng muling pagkonekta at pagkatapos ng ikalawang pag-login mula sa ibang aparato. Ang reserbasyong tumatagal lamang para sa unang session ay salungatan sa pool na naghihintay mangyari, at mas mura itong hanapin ngayon kaysa sa panahon ng audit.

Pumili ng isang may-ari at isulat ito

Kung maaasahan ang paglalapat ng gateway sa mga naka-frame na address, hayaang magmay-ari ang RADIUS ng paglalaan at alisin ang anumang static na mapping para sa parehong account. Kung hindi, hayaang ang gateway ang magmay-ari at alisin ang attribute mula sa tugon, upang hindi magkasalungat ang dalawang pinagmulan. Ang pagpapanatili ng dalawa dahil halos gumagana ang bawat isa ay sinisiguro ang isang session sa hinaharap na may maling address at walang malinaw na dahilan.

Isulat ang piniling may-ari, ang reserved na address at ang pool na pinagmulan nito sa talaan ng account. Ang susunod na taong magdadagdag ng aparato ay makikita kung patakaran ng AAA o mapping ng gateway ang address bago baguhin ang alinman sa dalawa.