Framed-IP-Address ng RADIUS para sa Matatag na Address ng Kliyenteng VPN

Maaaring sumagot ang RADIUS ng address para sa isang partikular na user; kung talagang natatanggap ito ng tunnel ay nakadepende sa gateway. Sa agwat na ito sa pagitan ng ibinalik at ipinatupad nabibigo ang karamihan ng plano para sa matatag na address. Ang isang attribute sa tugon ng pagsubok ay nagpapatunay na kayang ipadala ito ng server, hindi na ipinatutupad ito ng serbisyo ng malayuang pag-access. Sinusuri ng pagkakasunod-sunod sa ibaba ang dalawang hati bago mapunta ang address sa mga patakaran ng firewall.

Magpasya kung aling layer ang may-ari ng address

Karaniwang may lokal na pool ang mga gateway ng malayuang pag-access, at marami rin ang tumatanggap ng address mula sa tugon ng authentication. Alin ang mananalo ay nakadepende sa platform, protocol at configuration ng serbisyo, kaya basahin ang tuntunin ng pangunguna para sa eksaktong release na ginagamit. Kung saan nangunguna ang lokal na pool, ang attribute ay palamuti lamang at napupunta pa rin ang kliyente sa random na address. Isulat ang pasya, kabilang kung ang ibinalik na halaga ay dapat nasa loob ng saklaw ng pool o maaaring lumabas dito.

Itinatakda ng RFC 2865 ang Framed-IP-Address bilang address na dapat i-configure para sa user, at wala itong sinasabi tungkol sa pagpayag ng isang partikular na gateway na igalang ito. Ang dokumentasyon ng vendor ang awtoridad sa pangunguna, hindi ang kahulugan ng attribute.

Magpadala ng test request at basahin ang tugon

Subukan muna ang server nang hiwalay, upang ang kulang na attribute ay hindi mapagkamalang problema ng gateway. Nagpapadala ang radtest ng isang Access-Request at ipinapakita ang mga attribute na bumabalik.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Hanapin ang Framed-IP-Address sa Access-Accept at tiyakin na ang halaga ay ang nilalayon at hindi address ng pool mula sa fallback na tuntunin. Kapag wala ang attribute, hindi tumutugma ang entry ng user o ang patakaran ng awtorisasyon, at hindi maibibigay ng pagsasaayos ng gateway ang hindi kailanman ipinadala ng server. Ulitin ang request habang tumatakbo ang server sa debug mode kung mahirap ihanap ng tiyak na tuntunin ang tugon. Ilayo ang shared secret sa kasaysayan ng shell at mga ticket, dahil ang placeholder sa itaas ay hindi kredensyal.

Tiyakin na iginagalang ng gateway ang halaga

Ang tamang tugon ay kalahati lamang ng kontrata. Ang address na lumilitaw sa interface ng tunnel ang obserbasyong mahalaga, at binabasa ito sa kliyente sa halip na hinuha mula sa configuration ng gateway.

ip -4 addr show tun0

Ihambing ang address na iyon sa attribute mula sa Access-Accept. Ang hindi pagtutugma ay nangangahulugang binalewala o muling isinulat ng gateway ang halaga, na muling nagbubukas ng tanong ng pangunguna mula sa unang seksyon. Kumonekta muli nang isa pang beses, dahil ang reserbasyon na gumagana lamang sa unang pagtatangka ay karaniwang tumutukoy sa lumang session o lease na hawak pa ng nakaraang koneksyon. Itala ang release ng gateway at protocol sa tabi ng resulta, upang malaman ng susunod na tao kung ang pag-uugali ay tukoy sa bersyon.

Magplano para sa sabayang paggamit at pagbawi

Ang isang username sa dalawang device ay hindi maaaring tumugma sa isang address maliban kung pinag-iiba ng gateway ang mga session sa pamamagitan ng iba pa sa login. Magpasya kung ang pagmamapa ay para sa isang tao, rehistradong device o pagkakakilanlan ng certificate, at gawing malinaw ang pagpipiliang iyon sa imbakan ng patakaran. Subukan ang pangalawang sabay na kliyente at ihambing ang dalawang itinalagang address, dahil ang banggaan dito ay muling lumilitaw mamaya bilang error sa routing. Ang parehong pag-iingat ay kabilang sa plano ng pagbawi, dahil ang address na muling itinalaga habang tinutukoy pa rin ito ng lumang mga patakaran ng firewall ay nagiging bug sa awtorisasyon.

Pinapasimple ng matatag na pagtatalaga ng address ang mga patakaran at log, ngunit hindi kailanman pinatutunayan kung sino ang gumawa ng packet. Mahalaga pa rin ang authentication at awtorisasyon ng destinasyon kapag lumipat ang address na iyon sa ibang session mamaya.