FortiGate-VPN beland in die verkeerde groep: RADIUS-groep Passing
Fortinet-Group-Name word met die antwoord vergelyk, nie met jou plaaslike groepnaam nie. Gaan die drie name na voordat jy die passing na Any verbreed.
Die aanmelding slaag, die tonnel kom op, en die gebruiker beland op die verkeerde beleid of op geen beleid nie. Niks in die FortiGate-logboek sê dat die groep ontbreek het nie, want van sy kant het verifikasie gewerk en die groep Passing het eenvoudig nie plaasgevind nie. Die ketting wat jy moet ondersoek bevat drie afsonderlike name, en hulle is gewoonlik nie dieselfde string nie.
Drie name met drie take
Skryf al drie neer voordat jy enige konfigurasie aanraak, want twee van hulle woon op verskillende stelsels.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Die gidsgroep is wat jou RADIUS-beleid evalueer. Die teruggestuurde eienskap is 'n waarde binne die Access-Accept-antwoord. Die FortiGate-plaaslike groep is 'n houer waarna die beleid by naam verwys. Om enige twee van dié deurmekaar te maak lewer 'n aanmelding wat werk en 'n magtiging wat nie werk nie.
Waar die passing werklik gedoen word
Fortinet se verduideliking van RADIUS-groep-passing dokumenteer Fortinet-Group-Name as die verstek groep-eienskap. FortiGate vergelyk die opgestelde afgeleë bediener en die groepnaam-waarde met wat die antwoord bevat, wat beteken die vergelyking is teen die teruggestuurde string, nie teen jou plaaslike groep se vertoonnaam nie.
Dit is waarom 'n plaaslike groep met die naam VPN-Engineering langs 'n teruggestuurde waarde van vpn-engineering kan sit en glad nie pas nie. Hoofletters en spelling is nie kosmeties in hierdie vergelyking nie. Kies een string, gebruik dit in die antwoord, en verwys na dieselfde string in die poort se pasreël.
Op FortiAuthenticator moet die groep aan die eienskap gekoppel word en in die ooreenstemmende RADIUS-diensbeleid ingesluit word, met die groep-eienskap-terugstuurbeheer geaktiveer waar van toepassing.
Die antwoord kan slaag sonder die eienskap
Vir NPS of 'n ander RADIUS-bediener, dwing die gidsgroep-voorwaarde in die beleid af en stel dan die ondersteunde antwoord-eienskap op. 'n Suksesvolle wagwoordkontrole lewer op sigself 'n Access-Accept, en 'n Access-Accept sonder 'n groepstring is 'n heeltemal geldige antwoord wat niks op die FortiGate-kant magtig nie. Dit is die mees algemene vorm van die probleem.
'n Groep definieer is nie dieselfde as om dit te stuur nie. Dit is twee konfigurasiestappe op twee verskillende skerms, en gewoonlik word net een van hulle gedoen.
Waarom om met Any te pas 'n lokval is
'n Any-afgeleëgroep-passing is 'n wettige ontwerp wanneer die RADIUS-bediener reeds presies die groep toelaat wat jy wil hê. Kies daardie delegering doelbewus. Om die passing te verbreed om 'n ontbrekende eienskap te laat verdwyn, laat elke rekening toe wat die RADIUS-bediener toevallig aanvaar, insluitend die wat nooit VPN-toegang bedoel was nie. Die simptoom verdwyn en die toegangsbeheer hou stilweg op om te bestaan.
As jy nie kan sê wie die RADIUS-bediener veronderstel is om toe te laat nie, is jy nie gereed vir 'n Any-passing nie.
Hou vier rekords vir ondersteuning
Wanneer dit steeds nie werk nie, versamel vier dinge: die RADIUS-beleid wat gekies is, die groep-eienskap wat werklik teruggestuur is, die FortiGate-bediener en waarde waarteen dit gepas is, en die resulterende plaaslike groep. Dié vier rekords vind die breek sonder om wagwoorde bloot te lê of groepildmaatskap te verander om te sien wat gebeur.
Toets een gemagtigde en een buite-omvang rekening onder die werklike reël, en kontroleer die resulterende beleid en hulpbronntoegang sowel as die verifikasie-uitslag. Net die paar sê vir jou of die passing doen wat jy dink.