NPS RADIUS mijozi sifatida qaysi manzilni ro'yxatga olasiz?
Gateway'ning haqiqiy backend manzilini ro'yxatga oling, ommaviy hostname yoki mijozlar hovuzini emas. Umumiy sirni moslang, so'ng bitta nazorat qilingan so'rov bilan tasdiqlang.
Autentifikatsiyani Windows NPS ga topshiruvchi VPN gateway har qanday foydalanuvchi siyosati ishlashidan oldin NPS tomonida bitta obyektga muhtoj: gateway uchun RADIUS mijozi yozuvi. Muvaffaqiyatsiz urinishlarning ko'pchiligi noto'g'ri manzilni ro'yxatga oladi, chunki muhim manzil gateway o'zining backend yo'lida ishlatadigan manzildir, xodimlar VPN ilovasiga kiritadigan hostname emas. Bu qiymatni xato kiritsangiz, NPS so'rovni jimgina tashlab yuboradi va bu mijoz tomonidan noto'g'ri parol kabi ko'rinadi. Qaysi manzil bu maydonga tegishli ekanini uchta shart hal qiladi, shuning uchun konsolni ochishdan oldin ularni aniqlang.
Gateway'ni ro'yxatga oling, noutbuklar yoki hovuzni emas
RADIUS mijozi obyekti autentifikatsiya so'rovlarini yuboradigan tarmoq kirish qurilmasini ifodalaydi. Bu VPN gateway, mijozni ishga tushirgan har bir noutbuk emas va tunnellar ichida tarqatiladigan manzillar diapazoni ham emas.
Bu tunnel manzillari hech qachon RADIUS so'rovining manbasi sifatida ko'rinmaydi, chunki so'rov gateway'ning o'z tarmoq yo'li orqali boradi. Mijozlar hovuzi yozuvini ro'yxatga olish hech qachon mos kelmaydigan siyosat yaratadi, haqiqiy so'rov esa NPS hech qachon eshitmagan manzildan keladi. Xuddi shu chalkashlik odamlarni har bir xodimning uy IP manzilini qo'shishga undaydi, bu ham qo'llab-quvvatlab bo'lmaydi, ham noto'g'ri.
Kiritadigan manzilni uchta shart hal qiladi
Birinchidan, gateway NPS tomon haqiqatda ishlatadigan manba manzilini toping. Ko'p interfeysli gateway odatda ommaviy VPN tinglovchisi o'rniga boshqaruv yoki backend interfeysidan yuboradi. Ikkinchidan, ikkisi o'rtasida NAT bor-yo'qligini tekshiring: agar so'rov tarjima qilinsa, NPS tarjima qilingan manzilni ko'radi va ro'yxatga olinadigan qiymat shu. Uchinchidan, agar ikkita gateway rolni bo'lishsa, har bir so'rov manbasi o'z mijoz yozuviga muhtoj, chunki bitta manzilli bitta obyekt ulardan faqat bittasini qamrab oladi.
Ikki uchli yozuv juftlikni to'g'ri saqlaydi. Quyidagi jadval misol uchun xususiy manzillarni ishlatadi, shuning uchun yo'lingiz haqiqatda ishlatadigan manzillarni qo'ying.
| At NPS | At the VPN gateway |
|---|---|
| RADIUS client address 10.20.0.10 | Authentication server 10.20.0.20 |
| Shared secret, agreed value | The same secret, same value |
| UDP 1812 permitted from 10.20.0.10 | UDP 1812 permitted toward 10.20.0.20 |
Manbani taxmin qilish o'rniga tasdiqlang. Bitta urinish paytida NPS yoki xavfsizlik devori jurnalini kuzating yoki NPS xostida sudo tcpdump -ni any udp port 1812 bilan ushlang. O'sha ushlashdagi manzil mijoz yozuvi uchun yagona asosli javobdir. Agar gateway bir nechta mumkin bo'lgan manbaga ega bo'lsa, har birini o'z qulay nomi ostida ro'yxatga oling.
Umumiy sir — bu gateway va NPS o'rtasidagi qiymat
Umumiy sir qurilmalar munosabatini autentifikatsiya qiladi. Bu foydalanuvchi paroli emas va hech qachon xodimlarga tarqatilmaydi hamda mijoz profillariga joylanmaydi.
Bitta qiymat tanlang, uni ikkala joyga kiriting va gateway konfiguratsiyasining zaxira nusxasi saqlanadigan joyda saqlang. Mos kelmaslik NPS foydali xatosiz tashlab yuboradigan so'rovni keltirib chiqaradi va bu gateway jurnalida yetib bo'lmaydigan serverdan ajralmaydi. Uni texnik xizmat oynasida almashtiring va ikkala uchni bitta o'zgarishda yangilang.
Bitta ruxsat etilgan so'rov bilan tasdiqlang
Nazorat qilinadigan hisobdan foydalaning va bitta urinishni har ikki tomonda bog'lang. Gateway da so'rov mo'ljallangan serverga ketganini tasdiqlang; NPS da u ro'yxatga olingan mijozdan kelganini va kutilgan ulanish so'rovi siyosatiga mos kelganini tasdiqlang. Taym-aut va rad javobi boshqa ma'noni bildiradi, ikkalasini ham hisob ma'lumotlari muammosi deb hisoblash keyingi soatni behuda o'tkazadi. So'ng haqiqiy, ammo mos kelmaydigan hisobni va noto'g'ri parolni sinab ko'ring, chunki hamma narsani qabul qiladigan siyosat ham birinchi sinovdan o'tadi.
Nihoyat, gateway qaytarilgan avtorizatsiya bilan nima qilishini tekshiring. RADIUS mijozini ro'yxatga olish faqat qurilmaga ishtirok etishga ruxsat beradi; u yuzaga kelgan har bir seansga LAN ga kirish huquqini bermaydi.
Diagnostika chiqishini chegaralang: qo'llab-quvvatlash chiptasida umumiy sir, foydalanuvchi paroli yoki to'liq paket yuki bo'lmasin. Agar loyiha NPS serveri katalog atributlarini o'qishini talab qilsa, bu ruxsat mijoz yozuvidan alohida ma'muriy vazifadir va u yo'q bo'lganda boshqacha tarzda ishdan chiqadi.