RADIUS VLAN cavabı VPN istifadəçisi üçün niyə heç nə etmir

VLAN atributunu NPS siyasətinə əlavə edirsiniz, VPN istifadəçisi qoşulur, amma noutbuk yenə standart hovuza düşür. RADIUS serveri istədiyinizi qaytarır, bu da nasazlığı keş problemi kimi göstərir. Adətən belə deyil. Access-Accept avtorizasiya işarələri daşıyır və onları şəbəkə təyinatına yalnız onları alan şəbəkə giriş serveri çevirə bilər.

Siyasətdən deyil, şlüzdən başlayın

Heç nəyi dəyişməzdən əvvəl zənciri müştəridən içəriyə doğru izləyin. Müştəri şlüzdən sessiya istəyir, şlüz RADIUS-dan istifadəçinin sessiya ala biləcəyini soruşur, RADIUS isə nəticə və atributlar dəsti ilə cavab verir. Sonra şlüz tətbiq etməyi bildiyini tətbiq edir.

Gedişatınız dördüncü addımdan başlayır, buna görə ilk üç addım sağlam görünür. Mübadilədə heç nə şlüzü aldığı atributu tətbiq etməyə məcbur etmir. Cavab müştəri haqqında fakt deyil, şlüzə ünvanlanmış sorğudur.

Kommutatorun edib VPN-in edə bilmədiyi şey

802.1X giriş kommutatoru portları olan autentifikasiya qurğusudur və dinamik VLAN təyini həmin portlardan birini kommutatorun artıq daşıdığı VLAN-a köçürür. RADIUS tunel atributları bu niyyəti kommutatorun başa düşdüyü formada təsvir edir. Marşrutlaşdırılan VPN tunelləri sonlandırır, kommutator portlarını yox, və onun müştəriləri adətən yayım domeninə üzvlük əvəzinə ünvan və marşrut alır. Köçürüləcək port yoxdur, ona görə eyni atributun təsir edəcəyi bir şey yoxdur.

Bu, satıcı səhvi deyil, model fərqidir. Bəzi şlüzlər ekran görüntüsündə oxşar görünən öz qrup siyasətini, hovuz seçimini və ya filtr mexanizmini əlavə edir. Digərləri bunların heç birini tətbiq etmir və atribut jurnala yazılıb nəzərə alınmır. Ekran görüntüsündəki deyil, həqiqətən aktivləşdirdiyiniz uzaq giriş rejiminin sənədlərini oxuyun.

Serverin həqiqətən göndərdiyi cavabı oxuyun

Siyasət redaktorunun göstərdiyini deyil, RADIUS-un qaytardığını təsdiqləyin. Eyni istifadəçi adı və məlum parolla test sorğusu cavab atributlarını oxunaqlı formada çap edir və məsələni bir addımda həll edir.

radtest alice secret 10.0.0.10 0 testing123

Əgər VLAN atributları həmin cavabda yoxdursa, əvvəlcə siyasət uyğunluğunu düzəldin. Əgər varsa, server öz hissəsini edib və boşluq aşağı axındadır.

Əvvəlcə sessiya siyasətini, sonra çatımlılığı sübut edin

İndi şlüzün qurduğu sessiyaya baxın. Aktiv sessiyalar siyahısı hovuzu, təyin edilmiş ünvanı və şlüzün qoşduğu hər hansı qrup siyasətini göstərir və tətbiq üçün əhəmiyyətli yeganə sübut budur. Bunu siyasətin nəzərdə tutduğu ilə deyil, istifadəçinin nəyə çata bildiyi ilə müqayisə edin.

swanctl --list-sas

Sonra müştəridən bir icazəli və bir qadağan edilmiş resursu yoxlayın, çünki düzgün hovuzdan gələn ünvan təcridi sübut etmir. Əgər şlüzün istədiyiniz təyinat üçün mexanizmi yoxdursa, atributun daha çox nüsxəsi onu yaratmayacaq. Gözlənilən hovuzdan gələn ünvan bütün digər hovuzlara tam çıxışla yanaşı mövcud ola bilər. Dəstəklənən siyasət mexanizmi seçin və ya şəbəkə dizaynını qəsdən dəyişin.