Aling Address ang Irerehistro Mo Bilang RADIUS Client ng NPS?

Ang VPN gateway na nagpapaubaya ng authentication sa Windows NPS ay nangangailangan ng isang object sa panig ng NPS bago tumakbo ang anumang patakaran ng user: isang RADIUS client entry para sa gateway. Karamihan sa mga bigong pagtatangka ay nagrerehistro ng maling address, dahil ang address na mahalaga ay ang ginagamit ng gateway sa backend path nito, hindi ang hostname na itinatype ng staff sa kanilang VPN app. Kung mali ang value na iyon, tahimik na itinatapon ng NPS ang kahilingan, na mukhang maling password mula sa panig ng client. Tatlong kondisyon ang nagtatakda kung aling address ang nababagay sa field, kaya alamin ang mga iyon bago buksan ang console.

Irehistro ang gateway, hindi ang mga laptop o ang pool

Kinakatawan ng RADIUS client object ang network access device na nagpapadala ng mga kahilingan sa authentication. Iyon ay ang VPN gateway, hindi bawat laptop na nagpapatakbo ng client, at hindi ang hanay ng mga address na ipinamimigay sa loob ng mga tunnel.

Ang mga address ng tunnel na iyon ay hindi kailanman lumalabas bilang source ng isang RADIUS request, dahil dumadaan ang kahilingan sa sariling network path ng gateway. Ang pagrerehistro ng client pool entry ay gumagawa ng patakaran na hindi kailanman matutugma, habang ang tunay na kahilingan ay dumarating mula sa isang address na hindi pa narinig ng NPS. Ang parehong kalituhan ay nagtutulak sa mga tao na idagdag ang home IP ng bawat empleyado, na kapwa mahirap panatilihin at mali.

Tatlong kondisyon ang nagtatakda ng address na ilalagay mo

Una, hanapin ang source address na aktwal na ginagamit ng gateway papunta sa NPS. Ang gateway na may maraming interface ay madalas nagpapadala mula sa isang management o backend interface kaysa sa pampublikong VPN listener nito. Ikalawa, tingnan kung may NAT sa pagitan ng dalawa: kung isinasalin ang kahilingan, nakikita ng NPS ang isinaling address, at iyon ang value na irerehistro. Ikatlo, kung dalawang gateway ang naghahati sa role, kailangan ng bawat request source ang sarili nitong client entry, dahil ang isang object na may isang address ay sumasaklaw lamang sa isa sa kanila.

Pinapanatili ng two-ended record na tuwid ang pares. Gumagamit ang talahanayan sa ibaba ng mga pribadong address bilang halimbawa, kaya palitan ang mga aktwal na ginagamit ng iyong path.

Kumpirmahin ang source sa halip na hulaan ito. Panoorin ang NPS o firewall log habang isang pagtatangka, o kumuha ng capture sa NPS host gamit ang sudo tcpdump -ni any udp port 1812. Ang address sa capture na iyon ang tanging depensableng sagot para sa client entry. Kung maraming posibleng source ang gateway, irehistro ang bawat isa sa sarili nitong friendly name.

Ang shared secret ay value sa pagitan ng gateway at NPS

Ang shared secret ang nagpapatunay ng relasyon ng mga device. Hindi ito password ng user at hindi kailanman ipinapamigay sa staff o inilalagay sa mga client profile.

Pumili ng isang value, ilagay ito sa dalawang lugar, at itago kung saan nakalagay ang backup ng configuration ng gateway. Ang hindi pagtutugma ay gumagawa ng kahilingang itinatapon ng NPS nang walang kapaki-pakinabang na error, na hindi makilala mula sa isang server na hindi maabot sa log ng gateway. Paikutin ito sa isang maintenance window at i-update ang dalawang dulo sa iisang pagbabago.

Kumpirmahin sa isang pinapayagang kahilingan

Gumamit ng kontroladong account at iugnay ang isang pagtatangka sa dalawang panig. Sa gateway, kumpirmahin na umalis ang kahilingan papunta sa nilalayong server; sa NPS, kumpirmahin na dumating ito mula sa rehistradong client at tumugma sa inaasahang connection request policy. Ang timeout at pagtanggi ay may magkaibang kahulugan, at ang ituring ang dalawa bilang problema sa credential ay nagsasayang ng susunod na oras. Pagkatapos, subukan ang isang valid pero hindi karapat-dapat na account at isang maling password, dahil ang patakarang tumatanggap sa lahat ay pumapasa rin sa unang pagsubok.

Panghuli, tingnan kung ano ang ginagawa ng gateway sa ibinalik na authorization. Ang pagrerehistro ng RADIUS client ay nagpapahintulot lamang sa device na lumahok; hindi nito binibigyan ang bawat resultang session ng access sa LAN.

Panatilihing saklaw ang diagnostic output: walang shared secret, walang user password, walang buong packet payload sa isang support ticket. Kung ang disenyo ay nangangailangan na basahin ng NPS server ang mga directory attribute, ang pahintulot na iyon ay hiwalay na administratibong gawain mula sa client registration, at nabibigo ito sa ibang paraan kapag wala ito.