Framed-IP-Address у RADIUS для стабільної адреси клієнта VPN

RADIUS може відповісти адресою для конкретного користувача; чи отримає її тунель насправді, залежить від шлюзу. Саме в цій прогалині між повернутим і застосованим зазнають невдачі більшість планів зі стабільною адресою. Атрибут у тестовій відповіді доводить, що сервер може його надіслати, а не те, що служба віддаленого доступу його застосовує. Наведена нижче послідовність перевіряє обидві половини, перш ніж адреса потрапить до правил міжмережевого екрана.

Визначте, який рівень володіє адресою

Шлюзи віддаленого доступу зазвичай мають локальний пул, і багато з них можуть приймати адресу й з відповіді автентифікації. Що переможе, залежить від платформи, протоколу та конфігурації служби, тому прочитайте правило пріоритету для точної використовуваної версії. Там, де пріоритет має локальний пул, атрибут — лише прикраса, і клієнт усе одно опиняється на випадковій адресі. Запишіть рішення, зокрема чи повернуте значення має бути в межах діапазону пулу або може виходити за нього.

RFC 2865 визначає Framed-IP-Address як адресу, яку потрібно налаштувати для користувача, і нічого не каже про готовність конкретного шлюзу її поважати. Авторитетом у питанні пріоритету є документація виробника, а не визначення атрибута.

Надішліть тестовий запит і прочитайте відповідь

Спочатку протестуйте сервер окремо, щоб відсутній атрибут не сплутали з проблемою шлюзу. radtest надсилає один Access-Request і виводить атрибути, які повертаються.

radtest alice 'S3cret' 127.0.0.1 0 testing123

Знайдіть Framed-IP-Address в Access-Accept і переконайтеся, що значення — потрібне, а не адреса пулу з резервного правила. Коли атрибут відсутній, запис користувача або політика авторизації не збігаються, і налаштування шлюзу не може дати те, чого сервер ніколи не надсилав. Повторіть запит, поки сервер працює в режимі налагодження, якщо відповідь важко пов'язати з конкретним правилом. Тримайте спільний секрет поза історією оболонки та заявками, бо наведений вище заповнювач не є обліковими даними.

Переконайтеся, що шлюз застосував значення

Правильна відповідь — лише половина договору. Адреса, що з'являється на інтерфейсі тунелю, — це те спостереження, яке має значення, і його читають на клієнті, а не виводять з конфігурації шлюзу.

ip -4 addr show tun0

Порівняйте цю адресу з атрибутом з Access-Accept. Невідповідність означає, що шлюз проігнорував або переписав значення, що знову відкриває питання пріоритету з першого розділу. Підключіться ще раз, бо резервування, яке працює лише з першої спроби, зазвичай указує на застарілу сесію або оренду, яку все ще утримує попереднє з'єднання. Запишіть версію шлюзу й протокол поруч із результатом, щоб наступна людина могла зрозуміти, чи поведінка залежить від версії.

Сплануйте паралельність і відкликання

Одне ім'я користувача на двох пристроях не може відповідати одній адресі, якщо шлюз не розрізняє сесії чимось, крім входу. Вирішіть, чи належить зіставлення людині, зареєстрованому пристрою або ідентичності сертифіката, і явно зафіксуйте цей вибір у сховищі політик. Перевірте другого одночасного клієнта й порівняйте обидві видані адреси, бо колізія тут згодом проявиться як помилка маршрутизації. Така сама обережність потрібна в плані відкликання, бо адреса, видана заново, поки старі правила міжмережевого екрана ще посилаються на неї, перетворюється на помилку авторизації.

Стабільна адресація спрощує правила й журнали, але ніколи не доводить, хто створив пакет. Автентифікація та авторизація призначення досі важливі, коли ця адреса згодом переходить в іншу сесію.