لماذا لا يفعل رد RADIUS الخاص بـ VLAN شيئًا لمستخدم VPN

تضيف وسم VLAN إلى سياسة NPS، ويتصل مستخدم VPN، ومع ذلك يظل الحاسوب المحمول في التجمع الافتراضي. خادم RADIUS يعيد ما طلبته بالضبط، وهذا يجعل العطل يبدو كمشكلة تخزين مؤقت. وهو عادة ليس كذلك. تحمل رسالة Access-Accept تلميحات تفويض، ولا يستطيع تحويلها إلى تعيين شبكي إلا خادم الوصول الشبكي الذي استلمها.

ابدأ من البوابة، لا من السياسة

تتبَّع السلسلة من العميل إلى الداخل قبل تغيير أي شيء. يطلب العميل جلسة من البوابة، وتسأل البوابة خادم RADIUS إن كان يُسمح للمستخدم بواحدة، فيجيب RADIUS بنتيجة ومجموعة من الوسوم. ثم تطبّق البوابة ما تعرف كيف تطبّقه.

يبدأ مسارك عند الخطوة الرابعة، ولهذا تبدو الخطوات الثلاث الأولى سليمة. لا شيء في التبادل يلزم البوابة بتنفيذ وسم استلمته. فالرد طلب موجّه إلى البوابة، لا حقيقة عن العميل.

ما يفعله المبدّل ولا تستطيعه VPN

مبدّل الوصول 802.1X هو مصادِق له منافذ، وتعيين VLAN الديناميكي ينقل أحد تلك المنافذ إلى VLAN يحملها المبدّل أصلًا. تصف وسوم نفق RADIUS ذلك القصد بصيغة يفهمها المبدّل. أما شبكة VPN الموجّهة فتنهي الأنفاق، لا منافذ المبدّل، وعادة ما يحصل عملاؤها على عنوان ومسار بدلًا من عضوية في نطاق بث. لا يوجد منفذ لنقله، لذا لا يجد الوسم نفسه ما يفعله.

هذا فرق في النموذج، لا خطأ من المورّد. بعض البوابات تضيف سياسة المجموعة الخاصة بها أو اختيار تجمع أو آلية تصفية تبدو مشابهة في لقطة شاشة. وبعضها لا ينفّذ شيئًا من ذلك، فيُسجَّل الوسم ويُهمَل. اقرأ توثيق وضع الوصول البعيد الذي فعّلته فعلًا، لا الوضع الظاهر في لقطة الشاشة.

اقرأ الرد الذي أرسله الخادم فعلًا

تأكد مما أعاده RADIUS لا مما يعرضه محرر السياسة. طلب اختبار باسم المستخدم نفسه وكلمة مرور معروفة يطبع وسوم الرد بصيغة مقروءة، وهذا يحسم المسألة في خطوة واحدة.

radtest alice secret 10.0.0.10 0 testing123

إذا كانت وسوم VLAN غائبة من ذلك الرد، فأصلح مطابقة السياسة أولًا. وإن كانت موجودة، فقد أدى الخادم دوره والخلل في المصب.

أثبت سياسة الجلسة، ثم إمكانية الوصول

انظر الآن إلى الجلسة التي بناها البوابة. تعرض قائمة الجلسات النشطة التجمع والعنوان المخصص وأي سياسة مجموعة أرفقتها البوابة، وهي الدليل الوحيد المهم للإنفاذ. قارن ذلك بما يمكن للمستخدم الوصول إليه، لا بما قصدته السياسة.

swanctl --list-sas

ثم اختبر موردًا واحدًا مسموحًا وآخر مرفوضًا من العميل، لأن عنوانًا من التجمع الصحيح لا يثبت العزل. إذا لم تكن للبوابة آلية للتعيين الذي تريده، فلن تنشئ نسخ إضافية من الوسم آلية كهذه. يمكن أن يوجد عنوان من التجمع المتوقع مع وصول كامل إلى كل تجمع آخر. اختر آلية سياسة مدعومة أو غيّر تصميم الشبكة عن قصد.