NPS RADIUS İstemcisi Olarak Hangi Adresi Kaydedersiniz?

Kimlik doğrulamayı Windows NPS'ye devreden bir VPN ağ geçidi, herhangi bir kullanıcı ilkesi çalışmadan önce NPS tarafında tek bir nesneye ihtiyaç duyar: ağ geçidi için bir RADIUS istemcisi girdisi. Başarısız denemelerin çoğu yanlış adresi kaydeder, çünkü önemli olan adres ağ geçidinin arka uç yolunda kullandığı adrestir, personelin VPN uygulamasına yazdığı ana bilgisayar adı değil. Bu değeri yanlış girerseniz NPS isteği sessizce atar ve bu, istemci tarafından bakıldığında hatalı parola gibi görünür. Hangi adresin alana ait olduğuna üç koşul karar verir, bu yüzden konsolu açmadan önce bunları çözün.

Ağ geçidini kaydedin, dizüstü bilgisayarları veya havuzu değil

RADIUS istemcisi nesnesi, kimlik doğrulama isteklerini gönderen ağ erişim cihazını temsil eder. Bu, VPN ağ geçididir; istemciyi çalıştıran her dizüstü bilgisayar değil ve tünellerin içinde dağıtılan adres aralığı da değil.

Bu tünel adresleri hiçbir zaman bir RADIUS isteğinin kaynağı olarak görünmez, çünkü istek ağ geçidinin kendi ağ yolu üzerinden gider. Bir istemci havuzu girdisi kaydetmek, hiçbir zaman eşleşemeyecek bir ilke üretir; gerçek istek ise NPS'nin hiç duymadığı bir adresten gelir. Aynı karışıklık, insanları her çalışanın ev IP'sini eklemeye yöneltir; bu hem sürdürülemez hem de yanlıştır.

Gireceğiniz adrese üç koşul karar verir

Birincisi, ağ geçidinin NPS'ye doğru gerçekten kullandığı kaynak adresi bulun. Çok arayüzlü bir ağ geçidi genellikle genel VPN dinleyicisi yerine bir yönetim veya arka uç arayüzünden gönderir. İkincisi, ikisi arasında NAT olup olmadığını kontrol edin: istek çevriliyorsa NPS çevrilmiş adresi görür ve kaydedilmesi gereken değer budur. Üçüncüsü, iki ağ geçidi rolü paylaşıyorsa her istek kaynağının kendi istemci girdisine ihtiyacı vardır, çünkü tek adresli tek bir nesne yalnızca birini kapsar.

İki uçlu bir kayıt, çifti düzgün tutar. Aşağıdaki tablo örnek olarak özel adresler kullanır, bu yüzden yolunuzun gerçekte kullandığı adresleri koyun.

Kaynağı tahmin etmek yerine doğrulayın. Bir deneme sırasında NPS veya güvenlik duvarı günlüğünü izleyin ya da NPS ana bilgisayarında sudo tcpdump -ni any udp port 1812 ile yakalama yapın. O yakalamadaki adres, istemci girdisi için savunulabilir tek yanıttır. Ağ geçidinin birkaç olası kaynağı varsa her birini kendi kolay adı altında kaydedin.

Paylaşılan gizli anahtar, ağ geçidi ile NPS arasında bir değerdir

Paylaşılan gizli anahtar cihaz ilişkisini doğrular. Bir kullanıcı parolası değildir ve hiçbir zaman personele dağıtılmaz veya istemci profillerine gömülmez.

Tek bir değer seçin, iki yere de girin ve ağ geçidinin yapılandırma yedeğinin bulunduğu yerde saklayın. Uyuşmazlık, NPS'nin işe yarar bir hata vermeden attığı bir istek üretir; bu da ağ geçidinin günlüğünde ulaşılamayan bir sunucudan ayırt edilemez. Bir bakım penceresinde döndürün ve aynı değişiklikte her iki ucu güncelleyin.

İzin verilen tek bir istekle doğrulayın

Kontrollü bir hesap kullanın ve tek bir denemeyi her iki tarafta ilişkilendirin. Ağ geçidinde isteğin amaçlanan sunucuya doğru çıktığını doğrulayın; NPS'de isteğin kayıtlı istemciden geldiğini ve beklenen bağlantı isteği ilkesiyle eşleştiğini doğrulayın. Bir zaman aşımı ile bir ret farklı anlamlara gelir ve ikisini de kimlik bilgisi sorunu saymak sonraki saati boşa harcar. Ardından geçerli ama uygun olmayan bir hesabı ve yanlış bir parolayı test edin, çünkü her şeyi kabul eden bir ilke ilk testi de geçer.

Son olarak, ağ geçidinin döndürülen yetkilendirmeyle ne yaptığını kontrol edin. Bir RADIUS istemcisi kaydetmek yalnızca cihazın katılmasına izin verir; ortaya çıkan her oturuma LAN erişimi vermez.

Tanılama çıktısını sınırlı tutun: destek talebinde paylaşılan gizli anahtar, kullanıcı parolası veya tam paket yükü olmasın. Tasarım, NPS sunucusunun dizin özniteliklerini okumasını gerektiriyorsa bu izin, istemci kaydından ayrı bir yönetim görevidir ve eksik olduğunda farklı bir şekilde başarısız olur.