شبكة VPN على FortiGate تهبط في المجموعة الخاطئة: مطابقة RADIUS
يُطابَق Fortinet-Group-Name مع الرد لا مع تسمية مجموعتك المحلية. تتبّع الأسماء الثلاثة قبل توسيع المطابقة إلى Any.
ينجح تسجيل الدخول، ويصعد النفق، وينتهي المستخدم إلى السياسة الخاطئة أو إلى لا سياسة على الإطلاق. لا يعلن أي شيء في سجل FortiGate أن المجموعة كانت مفقودة، لأن المصادقة من جهته نجحت ومطابقة المجموعة ببساطة لم تُفعّل. السلسلة التي تحتاج إلى فحصها تحتوي على ثلاثة أسماء منفصلة، وهي عادةً ليست السلسلة نفسها.
ثلاثة أسماء بثلاث وظائف
اكتب الأسماء الثلاثة كلها قبل أن تلمس أي إعداد، لأن اثنين منها يعيشان على نظامين مختلفين.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
مجموعة الدليل هي ما تقيّمه سياسة RADIUS لديك. والسمة المُعادة هي قيمة داخل رد Access-Accept. ومجموعة FortiGate المحلية هي حاوية تشير إليها السياسة بالاسم. الخلط بين أي اثنين من هذه ينتج تسجيل دخول يعمل وتفويضًا لا يعمل.
أين تُجرى المطابقة فعليًا
يوثّق شرح مطابقة مجموعات RADIUS من Fortinet أن Fortinet-Group-Name هو سمة المجموعة الافتراضية. يقارن FortiGate الخادم البعيد المهيأ وقيمة اسم المجموعة بما يحمله الرد، ما يعني أن المقارنة تكون مع السلسلة المُعادة لا مع تسمية العرض لمجموعتك المحلية.
ولهذا يمكن لمجموعة محلية تُسمى VPN-Engineering أن تقف إلى جانب قيمة مُعادة هي vpn-engineering وألا تطابق شيئًا على الإطلاق. حالة الأحرف والإملاء ليستا مسألة تجميلية في هذه المقارنة. اختر سلسلة واحدة، واستخدمها في الرد، وأشِر إلى السلسلة نفسها في قاعدة المطابقة الخاصة بالبوابة.
في FortiAuthenticator يجب ربط المجموعة بالسمة وتضمينها في سياسة خدمة RADIUS المطابقة، مع تفعيل عنصر التحكم في إعادة سمة المجموعة حيث ينطبق ذلك.
يمكن أن ينجح الرد دون السمة
بالنسبة إلى NPS أو أي خادم RADIUS آخر، طبّق شرط مجموعة الدليل في السياسة ثم اضبط سمة الرد المدعومة. فحص كلمة مرور ناجح ينتج رد Access-Accept بحد ذاته، و رد Access-Accept بلا سلسلة مجموعة هو رد صالح تمامًا ولا يفوّض شيئًا على جانب FortiGate. هذا هو الشكل الأكثر شيوعًا للمشكلة.
تعريف مجموعة ليس كإرسالها. هاتان خطوتا إعداد على شاشتين مختلفتين، وعادةً تُنفَّذ واحدة فقط منهما.
لماذا تُعد المطابقة على Any فخًا
مطابقة مجموعة بعيدة من نوع Any تصميم مشروع عندما يكون خادم RADIUS يقبل بالفعل الفئة نفسها التي تريدها بالضبط. اختر هذا التفويض عن قصد. فتوسيع المطابقة لإخفاء سمة مفقودة يقبل كل حساب يقبله خادم RADIUS عادةً، بما في ذلك حسابات لم يكن مقصودًا لها الوصول إلى VPN. تختفي العَرَض ويتوقف التحكم في الوصول بهدوء عن الوجود.
إذا لم تستطع تسمية من يُفترض أن يقبله خادم RADIUS، فأنت لست مستعدًا لمطابقة Any.
احتفظ بأربعة سجلات للدعم
عندما لا يعمل الأمر رغم ذلك، اجمع أربعة أشياء: سياسة RADIUS التي جرى اختيارها، وسمة المجموعة التي أُعيدت فعليًا، وخادم FortiGate والقيمة التي طابقتها، والمجموعة المحلية الناتجة. هذه السجلات الأربعة تحدد موضع الانقطاع دون كشف كلمات المرور أو تغيير عضوية المجموعة لمعرفة ما يحدث.
اختبر حسابًا مصرّحًا له وحسابًا خارج النطاق في ظل القاعدة الحقيقية، وافحص السياسة الناتجة والوصول إلى الموارد فضلًا عن نتيجة المصادقة. فقط الزوج يخبرك بما إذا كانت المطابقة تفعل ما تعتقده.