VPN на FortiGate трапляе ў не тую групу: супастаўленне RADIUS
Fortinet-Group-Name супастаўляецца з адказам, а не з вашай лакальнай назвай групы. Прасачыце тры назвы, перш чым пашыраць супастаўленне да Any.
Уваход паспяховы, тунель узнімаецца, і карыстальнік трапляе ў непатрэбную палітыку або не трапляе ў палітыку наогул. Нішто ў журнале FortiGate не паведамляе, што групы не было, бо з яго боку аўтэнтыфікацыя спрацавала, а супастаўленне групы проста не адбылося. Ланцуг, які трэба даследаваць, змяшчае тры асобныя назвы, і звычайна яны не аднолькавыя.
Тры назвы з трыма задачамі
Запішыце ўсе тры, перш чым чапаць якую-небудзь канфігурацыю, бо дзве з іх жывуць у розных сістэмах.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Група каталога — гэта тое, што ацэньвае ваша палітыка RADIUS. Вернуты атрыбут — гэта значэнне ўнутры адказу Access-Accept. Лакальная група FortiGate — гэта кантэйнер, на які палітыка спасылаецца па назве. Блытаніна любых дзвюх з іх дае ўваход, які працуе, і аўтарызацыю, якая не працуе.
Дзе насамрэч адбываецца супастаўленне
Fortinet у сваім тлумачэнні супастаўлення груп RADIUS указвае Fortinet-Group-Name як атрыбут групы па змаўчанні. FortiGate параўноўвае наладжаны аддалены сервер і значэнне назвы групы з тым, што нясе адказ, што азначае, што параўнанне ідзе з вернутай радком, а не з адлюстраванай назвай вашай лакальнай групы.
Менавіта таму лакальная група з назвай VPN-Engineering можа стаяць побач з вернутым значэннем vpn-engineering і не супадаць ні з чым. Рэгістр і напісанне ў гэтым параўнанні не касметыка. Выберыце адзін радок, выкарыстоўвайце яго ў адказе і спасылайцеся на той жа радок у правіле супастаўлення шлюза.
На FortiAuthenticator групу трэба звязаць з атрыбутам і ўключыць у адпаведную палітыку службы RADIUS, з уключаным кантролем вяртання атрыбута групы, дзе гэта дастасавальна.
Адказ можа быць паспяховым і без атрыбута
Для NPS або іншага сервера RADIUS увядзіце ўмову групы каталога ў палітыку, а затым наладзьце падтрымліваемы атрыбут адказу. Паспяховая праверка пароля сама па сабе стварае Access-Accept, і Access-Accept без радка групы — цалкам дапушчальны адказ, які нічога не аўтарызуе на баку FortiGate. Гэта найбольш распаўсюджаная форма праблемы.
Вызначыць групу — не тое ж самае, што адправіць яе. Гэта два крокі наладкі на двух розных экранах, і звычайна робіцца толькі адзін з іх.
Чаму супастаўленне з Any — пастка
Супастаўленне аддаленай групы Any — законны дызайн, калі сервер RADIUS ужо пускае менавіта тую папуляцыю, якую вы хочаце. Выбірайце гэтую дэлегацыю свядома. Пашырэнне супастаўлення, каб пазбавіцца ад адсутнага атрыбута, пускае кожны ўліковы запіс, які сервер RADIUS выпадкова прымае, уключаючы тыя, якім доступ да VPN ніколі не планаваўся. Сімптом знікае, і кантроль доступу ціха перастае існаваць.
Калі вы не можаце назваць, каго павінен пускаць сервер RADIUS, вы не гатовы да супастаўлення з Any.
Захоўвайце чатыры запісы для падтрымкі
Калі ўсё яшчэ не працуе, сабярыце чатыры рэчы: выбраная палітыка RADIUS, фактычна вернуты атрыбут групы, сервер FortiGate і значэнне, з якім яго супастаўлялі, і атрыманая лакальная група. Гэтыя чатыры запісы вызначаюць месца збою, не раскрываючы паролі і не змяняючы склад групы, каб пабачыць, што адбудзецца.
Праверце адзін дазволены і адзін пазамежны ўліковы запіс пад сапраўдным правілам і праверце атрыманую палітыку і доступ да рэсурсаў, а таксама вынік аўтэнтыфікацыі. Толькі пара гаворыць, ці робіць супастаўленне тое, што вы думаеце.