Bạn đăng ký địa chỉ nào làm máy khách RADIUS cho NPS?

Một cổng VPN giao việc xác thực cho Windows NPS cần một đối tượng ở phía NPS trước khi bất kỳ chính sách người dùng nào chạy: một mục máy khách RADIUS cho cổng. Phần lớn các lần thử thất bại đăng ký sai địa chỉ, vì địa chỉ quan trọng là địa chỉ cổng dùng trên đường phía sau của nó, không phải tên máy chủ mà nhân viên gõ vào ứng dụng VPN. Nhập sai giá trị đó và NPS sẽ âm thầm bỏ yêu cầu, điều trông giống như mật khẩu sai từ phía máy khách. Ba điều kiện quyết định địa chỉ nào thuộc về ô này, nên hãy làm rõ chúng trước khi mở bảng điều khiển.

Hãy đăng ký cổng, không phải laptop hay nhóm địa chỉ

Đối tượng máy khách RADIUS đại diện cho thiết bị truy cập mạng gửi các yêu cầu xác thực. Đó là cổng VPN, không phải từng laptop chạy máy khách và cũng không phải dải địa chỉ được cấp bên trong các đường hầm.

Những địa chỉ đường hầm đó không bao giờ xuất hiện làm nguồn của một yêu cầu RADIUS, vì yêu cầu đi theo đường mạng riêng của cổng. Đăng ký một mục nhóm máy khách tạo ra chính sách không bao giờ khớp được, trong khi yêu cầu thật đến từ một địa chỉ mà NPS chưa từng biết. Cùng sự nhầm lẫn đó khiến người ta thêm IP nhà của từng nhân viên, vừa khó duy trì vừa sai.

Ba điều kiện quyết định địa chỉ bạn nhập

Thứ nhất, tìm địa chỉ nguồn mà cổng thực sự dùng để đi tới NPS. Một cổng nhiều giao diện thường gửi từ giao diện quản trị hoặc phía sau thay vì từ trình lắng nghe VPN công khai. Thứ hai, kiểm tra xem có NAT giữa hai bên không: nếu yêu cầu bị dịch địa chỉ, NPS thấy địa chỉ đã dịch và đó là giá trị cần đăng ký. Thứ ba, nếu hai cổng chia sẻ vai trò, mỗi nguồn yêu cầu cần mục máy khách riêng, vì một đối tượng với một địa chỉ chỉ bao phủ một trong hai.

Một bản ghi hai đầu giữ cho cặp này thẳng hàng. Bảng dưới đây dùng địa chỉ riêng để minh họa, nên hãy thay bằng những địa chỉ mà đường của bạn thực sự dùng.

Hãy xác nhận nguồn thay vì đoán. Theo dõi nhật ký NPS hoặc tường lửa trong một lần thử, hoặc bắt gói trên máy chủ NPS bằng sudo tcpdump -ni any udp port 1812. Địa chỉ trong bản bắt gói đó là câu trả lời duy nhất có thể bảo vệ được cho mục máy khách. Nếu cổng có vài nguồn khả dĩ, hãy đăng ký từng nguồn dưới tên thân thiện riêng.

Khóa bí mật chia sẻ là giá trị giữa cổng và NPS

Khóa bí mật chia sẻ xác thực mối quan hệ giữa các thiết bị. Nó không phải mật khẩu người dùng và không bao giờ được phát cho nhân viên hay nhúng vào hồ sơ máy khách.

Chọn một giá trị, nhập nó ở cả hai nơi và lưu nó cùng chỗ với bản sao lưu cấu hình của cổng. Sự không khớp tạo ra một yêu cầu mà NPS bỏ đi mà không có lỗi hữu ích, điều không thể phân biệt với một máy chủ không thể tới trong nhật ký của cổng. Hãy luân chuyển nó trong một cửa sổ bảo trì và cập nhật cả hai đầu trong cùng một thay đổi.

Xác nhận bằng một yêu cầu được cho phép

Dùng một tài khoản có kiểm soát và đối chiếu một lần thử ở cả hai phía. Tại cổng, xác nhận yêu cầu đã đi tới máy chủ dự định; tại NPS, xác nhận nó đến từ máy khách đã đăng ký và khớp chính sách yêu cầu kết nối mong đợi. Hết thời gian chờ và bị từ chối mang ý nghĩa khác nhau, và coi cả hai là vấn đề thông tin đăng nhập sẽ lãng phí giờ tiếp theo. Sau đó thử một tài khoản hợp lệ nhưng không đủ điều kiện và một mật khẩu sai, vì chính sách chấp nhận mọi thứ cũng vượt qua bài kiểm tra đầu tiên.

Cuối cùng, kiểm tra cổng làm gì với quyền mà nó nhận lại. Đăng ký máy khách RADIUS chỉ cho phép thiết bị tham gia; nó không cấp cho mọi phiên kết quả quyền truy cập LAN.

Giữ đầu ra chẩn đoán trong phạm vi: không khóa bí mật chia sẻ, không mật khẩu người dùng, không tải trọng gói đầy đủ trong phiếu hỗ trợ. Nếu thiết kế yêu cầu máy chủ NPS đọc thuộc tính thư mục, quyền đó là một tác vụ quản trị riêng biệt với việc đăng ký máy khách, và nó hỏng theo cách khác khi thiếu.