FortiGate VPN yanlış qrupda: RADIUS uyğunlaşdırması
Fortinet-Group-Name yerli qrup adınızla deyil, cavabla uyğunlaşdırılır. Uyğunlaşdırmanı Any-yə genişlətməzdən əvvəl üç adı izləyin.
Giriş uğurla tamamlanır, tunel qalxır və istifadəçi səhv siyasətə və ya heç bir siyasətə düşür. FortiGate jurnalında qrupun çatışmadığı barədə heç nə bildirilmir, çünki onun tərəfindən autentifikasiya işləyib və qrup uyğunlaşdırması sadəcə baş verməyib. Yoxlamağınız lazım olan zəncirdə üç ayrı ad var və onlar adətən eyni sətir deyil.
Üç vəzifəli üç ad
Hər hansı konfiqurasiyaya toxunmazdan əvvəl hər üçünü yazın, çünki onlardan ikisi fərqli sistemlərdə yaşayır.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Kataloq qrupu RADIUS siyasətinizin qiymətləndirdiyi şeydir. Qaytarılan atribut Access-Accept cavabının içindəki dəyərdir. FortiGate yerli qrupu siyasətin adla istinad etdiyi konteynerdir. Bunlardan hər hansı ikisini qarışdırmaq işləyən giriş və işləməyən avtorizasiya yaradır.
Uyğunlaşdırma əslində harada aparılır
Fortinet-in RADIUS qrup uyğunlaşdırması izahı sənədində Fortinet-Group-Name defolt qrup atributu kimi göstərilir. FortiGate konfiqurasiya edilmiş uzaq serveri və qrup adı dəyərini cavabın daşıdığı ilə müqayisə edir, yəni müqayisə qaytarılan sətirə qarşıdır, yerli qrupunuzun göstərilən adına qarşı deyil.
Buna görə VPN-Engineering adlı yerli qrup vpn-engineering kimi qaytarılan dəyərlə yanaşı ola bilər və heç nə ilə uyğunlaşmaz. Bu müqayisədə registr və yazılış kosmetik deyil. Bir sətir seçin, onu cavabda istifadə edin və şlüzün uyğunlaşdırma qaydasında həmin sətrə istinad edin.
FortiAuthenticator-da qrup atributla əlaqələndirilməli və uyğun RADIUS xidmət siyasətinə daxil edilməli, mümkün olduqda qrup atributunun qaytarılması idarəetməsi aktivləşdirilməlidir.
Cavab atribut olmadan da uğurlu ola bilər
NPS və ya başqa RADIUS serveri üçün siyasətdə kataloq qrupu şərtini tətbiq edin, sonra dəstəklənən cavab atributunu konfiqurasiya edin. Uğurlu parol yoxlaması özlüyündə Access-Accept yaradır və qrup sətri olmayan Access-Accept FortiGate tərəfində heç nəyə icazə verməyən tamamilə etibarlı cavabdır. Problemin ən çox rast gəlinən forması budur.
Qrupu təyin etmək onu göndərməklə eyni şey deyil. Bunlar iki fərqli ekranda iki konfiqurasiya addımıdır və adətən yalnız biri edilir.
Niyə Any ilə uyğunlaşdırma tələdir
Any uzaq qrup uyğunlaşdırması, RADIUS serveri artıq tam istədiyiniz əhali qəbul edəndə qanuni dizayndır. Bu həvaləni qəsdən seçin. Çatışmayan atributu yox etmək üçün uyğunlaşdırmanı genişlətmək RADIUS serverinin qəbul etdiyi hər hesaba icazə verir, o cümlədən heç vaxt VPN girişi nəzərdə tutulmayanlara. Simptom yox olur və giriş nəzarəti səssizcə mövcud olmaqdan çıxır.
RADIUS serverinin kimə icazə verməli olduğunu adlandıra bilmirsinizsə, Any uyğunlaşdırması üçün hazır deyilsiniz.
Dəstək üçün dörd qeyd saxlayın
Hələ də işləmirsə, dörd şey toplayın: seçilmiş RADIUS siyasəti, faktiki qaytarılan qrup atributu, uyğunlaşdırıldığı FortiGate serveri və dəyəri, və nəticədə yaranan yerli qrup. Bu dörd qeyd parolları ifşa etmədən və nə baş verdiyini görmək üçün qrup üzvlüyünü dəyişmədən qırılmanın yerini göstərir.
Real qayda altında bir icazəli və bir əhatə xaricində hesab sınayın, autentifikasiya nəticəsi ilə yanaşı nəticədə yaranan siyasəti və resurs girişini yoxlayın. Yalnız bu cüt uyğunlaşdırmanın düşündüyünüz kimi işləyib-işləmədiyini deyir.