Kararlı VPN İstemci Adresi için RADIUS Framed-IP-Address

RADIUS belirli bir kullanıcı için bir adresle yanıt verebilir; tünelin bunu gerçekten alıp almadığı ağ geçidine bağlıdır. Kararlı adres planlarının çoğu, tam da döndürülen ile uygulanan arasındaki bu boşlukta başarısız olur. Bir test yanıtındaki öznitelik, sunucunun onu gönderebildiğini kanıtlar, uzaktan erişim hizmetinin onu uyguladığını değil. Aşağıdaki sıra, adres güvenlik duvarı kurallarına girmeden önce iki yarıyı da kontrol eder.

Adresin hangi katmana ait olduğuna karar verin

Uzaktan erişim ağ geçitlerinde genellikle yerel bir havuz bulunur ve birçoğu kimlik doğrulama yanıtından gelen bir adresi de kabul edebilir. Hangisinin kazanacağı platforma, protokole ve hizmet yapılandırmasına bağlıdır, bu yüzden kullanılan tam sürüm için öncelik kuralını okuyun. Yerel havuzun öncelikli olduğu yerde öznitelik yalnızca süstür ve istemci yine rastgele bir adrese düşer. Kararı, döndürülen bir değerin havuz aralığında mı kalması gerektiği yoksa dışına çıkabileceği dahil, yazın.

RFC 2865, Framed-IP-Address özniteliğini kullanıcı için yapılandırılacak adres olarak tanımlar ve belirli bir ağ geçidinin buna saygı gösterme istekliliği hakkında hiçbir şey söylemez. Öncelik konusunda yetkili kaynak satıcı belgeleridir, özniteliğin tanımı değil.

Bir test isteği gönderin ve yanıtı okuyun

Önce sunucuyu tek başına test edin, böylece eksik bir öznitelik ağ geçidi sorunuyla karıştırılmasın. radtest bir Access-Request gönderir ve geri dönen öznitelikleri yazdırır.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Access-Accept içinde Framed-IP-Address arayın ve değerin amaçlanan değer olduğunu, yedek bir kuraldan gelen havuz adresi olmadığını doğrulayın. Öznitelik yoksa kullanıcı girdisi veya yetkilendirme ilkesi eşleşmiyordur ve ağ geçidi ayarı sunucunun hiç göndermediği şeyi sağlayamaz. Yanıtı belirli bir kurala bağlamak zorsa sunucu hata ayıklama modunda çalışırken isteği yineleyin. Paylaşılan sırrı kabuk geçmişinden ve biletlerden uzak tutun, çünkü yukarıdaki yer tutucu bir kimlik bilgisi değildir.

Ağ geçidinin değere saygı duyduğunu doğrulayın

Doğru bir yanıt sözleşmenin yalnızca yarısıdır. Tünel arayüzünde görünen adres, önemli olan gözlemdir ve ağ geçidi yapılandırmasından çıkarılmak yerine istemcide okunur.

ip -4 addr show tun0

Bu adresi Access-Accept'ten gelen öznitelikle karşılaştırın. Bir uyuşmazlık, ağ geçidinin değeri yok saydığı veya yeniden yazdığı anlamına gelir ve bu, ilk bölümdeki öncelik sorusunu yeniden açar. Bir kez daha bağlanın, çünkü yalnızca ilk denemede çalışan bir rezervasyon genellikle eski bir oturuma veya önceki bağlantının hâlâ tuttuğu bir kiralamaya işaret eder. Ağ geçidi sürümünü ve protokolü sonucun yanına not edin, böylece sonraki kişi davranışın sürüme özgü olup olmadığını anlayabilir.

Eşzamanlılık ve iptal için plan yapın

Bir kullanıcı adı iki cihazda tek bir adrese eşlenemez, meğer ki ağ geçidi oturumları oturum açmanın ötesinde bir şeyle ayırsın. Eşlemenin bir kişiye, kayıtlı bir cihaza mı yoksa bir sertifika kimliğine mi ait olduğuna karar verin ve bu seçimi ilke deposunda açıkça belirtin. İkinci bir eşzamanlı istemciyi test edin ve atanan iki adresi karşılaştırın, çünkü buradaki bir çakışma daha sonra yönlendirme hatası olarak yeniden ortaya çıkar. Aynı özen iptal planına da aittir, çünkü eski güvenlik duvarı kuralları hâlâ ona başvururken yeniden atanan bir adres yetkilendirme hatasına dönüşür.

Kararlı adresleme kuralları ve günlükleri basitleştirir, ancak bir paketi kimin ürettiğini asla kanıtlamaz. O adres daha sonra başka bir oturuma geçtiğinde kimlik doğrulama ve hedef yetkilendirmesi hâlâ önemlidir.