FortiGate VPN попада в грешната група: съвпадение по RADIUS
Fortinet-Group-Name се сравнява с отговора, а не с локалното име на групата. Проследете трите имена, преди да разширите съвпадението до Any.
Влизането успява, тунелът се вдига и потребителят попада в грешна политика или в никаква политика. Нищо в журнала на FortiGate не съобщава, че групата е липсвала, защото от негова страна удостоверяването е успяло, а съвпадението на групата просто не е задействало. Веригата, която трябва да прегледате, съдържа три отделни имена и обикновено те не са един и същ низ.
Три имена с три задачи
Запишете и трите, преди да пипате каквато и да е конфигурация, защото две от тях живеят в различни системи.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Групата в директорията е това, което вашата RADIUS политика оценява. Върнатият атрибут е стойност вътре в отговора Access-Accept. Локалната група на FortiGate е контейнер, към който политиката се позовава по име. Объркването на които и да са две от тях дава влизане, което работи, и оторизация, която не работи.
Къде всъщност се прави съвпадението
Fortinet в своето обяснение на съвпадението на RADIUS групи посочва Fortinet-Group-Name като атрибут на групата по подразбиране. FortiGate сравнява конфигурирания отдалечен сървър и стойността на името на групата с това, което носи отговорът, което означава, че сравнението е срещу върнатия низ, а не срещу показваното име на вашата локална група.
Затова локална група с име VPN-Engineering може да стои до върната стойност vpn-engineering и да не съвпадне с нищо. Главните букви и правописът не са козметика в това сравнение. Изберете един низ, използвайте го в отговора и се позовете на същия низ в правилото за съвпадение на шлюза.
Във FortiAuthenticator групата трябва да бъде свързана с атрибута и включена в съответстващата RADIUS service политика, с активирано управление за връщане на атрибута на групата, където е приложимо.
Отговорът може да успее без атрибута
За NPS или друг RADIUS сървър наложете условието за група от директорията в политиката и след това конфигурирайте поддържания атрибут за отговор. Успешната проверка на парола сама по себе си произвежда Access-Accept и Access-Accept без низ за група е напълно валиден отговор, който не оторизира нищо от страната на FortiGate. Това е най-честата форма на проблема.
Дефинирането на група не е същото като изпращането ѝ. Това са две стъпки на конфигурация на два различни екрана и обикновено се прави само една от тях.
Защо съвпадението с Any е капан
Съвпадението с отдалечена група Any е законен дизайн, когато RADIUS сървърът вече допуска точно популацията, която искате. Изберете това делегиране съзнателно. Разширяването на съвпадението, за да изчезне липсващ атрибут, допуска всеки акаунт, който RADIUS сървърът случайно приеме, включително такива, които никога не е трябвало да имат VPN достъп. Симптомът изчезва и контролът на достъпа тихо престава да съществува.
Ако не можете да назовете кого трябва да допуска RADIUS сървърът, не сте готови за съвпадение с Any.
Пазете четири записа за поддръжка
Когато все още не работи, съберете четири неща: избраната RADIUS политика, действително върнатия атрибут на групата, сървъра FortiGate и стойността, с която е сравняван, и получената локална група. Тези четири записа локализират прекъсването, без да разкриват пароли или да променят членството в групи, за да видят какво ще стане.
Тествайте един оторизиран и един извън обхвата акаунт по реалното правило и проверете получената политика и достъпа до ресурси, както и резултата от удостоверяването. Само двойката показва дали съвпадението прави това, което мислите.