Чаму адказ RADIUS пра VLAN нічога не робіць для карыстальніка VPN

Вы дадаяце атрыбут VLAN у палітыку NPS, карыстальнік VPN падключаецца, але ноўтбук усё роўна трапляе ў пул па змаўчанні. Сервер RADIUS вяртае тое, што вы прасілі, і таму збой выглядае як праблема кэша. Звычайна гэта не так. Access-Accept нясе падказкі аўтарызацыі, і толькі сервер сеткавага доступу, які іх атрымаў, можа ператварыць іх у сеткавае прызначэнне.

Пачынайце са шлюза, а не з палітыкі

Прайдзіце ланцуг ад кліента ўнутр, перш чым нешта змяняць. Кліент просіць у шлюза сеанс, шлюз пытае RADIUS, ці можа карыстальнік атрымаць сеанс, і RADIUS адказвае вынікам і наборам атрыбутаў. Затым шлюз ужывае тое, што ўмее ўжыць.

Ваш праход пачынаецца з чацвёртага кроку, таму першыя тры выглядаюць здаровымі. Нішто ў абмене не абавязвае шлюз рэалізаваць атрыбуты, якія ён атрымаў. Адказ — гэта запыт да шлюза, а не факт пра кліента.

Што робіць камутатар, чаго не можа VPN

Камутатар доступу 802.1X — гэта аўтэнтыфікатар з партамі, і дынамічнае прызначэнне VLAN пераносіць адзін з гэтых партоў у VLAN, які камутатар ужо нясе. Атрыбуты тунелю RADIUS апісваюць гэтую задуму ў форме, зразумелай камутатару. Маршрутызаваны VPN завяршае тунелі, а не парты камутатара, і яго кліенты звычайна атрымліваюць адрас і маршрут, а не членства ў шырокавяшчальным дамене. Пераносіць няма парта, таму гэтаму ж атрыбуту няма на што дзейнічаць.

Гэта розніца мадэляў, а не памылка пастаўшчыка. Некаторыя шлюзы дадаюць уласную групавую палітыку, выбар пула або механізм фільтрацыі, які на здымку экрана выглядае падобна. Іншыя не рэалізуюць нічога з гэтага, і атрыбут запісваецца ў журнал і ігнаруецца. Чытайце дакументацыю для рэжыму выдаленага доступу, які вы сапраўды ўключылі, а не для таго, што на здымку.

Прачытайце адказ, які сервер сапраўды даслаў

Пацвердзіце, што вярнуў RADIUS, а не тое, што паказвае рэдактар палітыкі. Тэставы запыт з тым жа імем карыстальніка і вядомым паролем друкуе атрыбуты адказу ў чытэльнай форме, і гэта вырашае пытанне за адзін крок.

radtest alice secret 10.0.0.10 0 testing123

Калі атрыбутаў VLAN няма ў гэтым адказе, спачатку выпраўце супадзенне палітыкі. Калі яны ёсць, сервер зрабіў сваю частку, а прагал ніжэй па плыні.

Спачатку дакажыце палітыку сеансу, потым дасяжнасць

Цяпер паглядзіце на сеанс, які пабудаваў шлюз. Спіс актыўных сеансаў паказвае пул, прызначаны адрас і любую групавую палітыку, якую далучыў шлюз, і гэта адзіныя доказы, што маюць значэнне для прымянення. Параўнайце гэта з тым, да чаго карыстальнік мае доступ, а не з тым, што мела на ўвазе палітыка.

swanctl --list-sas

Затым праверце з кліента адзін дазволены і адзін забаронены рэсурс, бо адрас з правільнага пула не даказвае ізаляцыі. Калі ў шлюза няма механізму для патрэбнага прызначэння, больш копій атрыбута яго не створаць. Адрас з чаканага пула можа існаваць разам з поўным доступам да кожнага іншага пула. Выберыце падтрыманы механізм палітыкі або наўмысна змяніце дызайн сеткі.