Защо отговорът на RADIUS за VLAN не прави нищо за потребител на VPN

Добавяте атрибута VLAN към политиката на NPS, потребителят на VPN се свързва, а лаптопът все още попада в пула по подразбиране. Сървърът RADIUS връща това, което сте поискали, и затова отказът изглежда като проблем с кеша. Обикновено не е. Access-Accept носи подсказки за оторизация и само сървърът за мрежов достъп, който ги е получил, може да превърне една от тях в мрежово назначение.

Започнете от шлюза, а не от политиката

Проследете веригата от клиента навътре, преди да променяте каквото и да е. Клиентът иска сесия от шлюза, шлюзът пита RADIUS дали потребителят може да получи такава, а RADIUS отговаря с резултат и набор от атрибути. След това шлюзът прилага това, което умее да прилага.

Вашето проследяване започва от четвъртата стъпка, затова първите три изглеждат здрави. Нищо в обмена не задължава шлюза да реализира получен атрибут. Отговорът е заявка към шлюза, а не факт за клиента.

Какво прави комутаторът, което VPN не може

Комутаторът за достъп 802.1X е автентикатор с портове и динамичното назначаване на VLAN премества един от тези портове във VLAN, който комутаторът вече носи. Атрибутите на тунела RADIUS описват това намерение във форма, която комутаторът разбира. Маршрутизираният VPN терминира тунели, а не портове на комутатор, и клиентите му обикновено получават адрес и маршрут, а не членство в широкомовен домейн. Няма порт за преместване, така че същият атрибут няма върху какво да действа.

Това е разлика в модела, а не дефект на доставчика. Някои шлюзове добавят собствена групова политика, избор на пул или механизъм за филтриране, който изглежда подобно на екранна снимка. Други не реализират нищо от това и атрибутът се записва и игнорира. Четете документацията за режима на отдалечен достъп, който действително сте включили, а не този от екранната снимка.

Прочетете отговора, който сървърът всъщност изпрати

Потвърдете какво е върнал RADIUS, а не какво показва редакторът на политики. Тестова заявка със същото потребителско име и известна парола отпечатва атрибутите на отговора в четим вид и това решава въпроса с една стъпка.

radtest alice secret 10.0.0.10 0 testing123

Ако атрибутите VLAN липсват в този отговор, първо поправете съвпадението на политиката. Ако присъстват, сървърът е свършил своята част и пропускът е надолу по веригата.

Докажете първо политиката на сесията, после достижимостта

Сега вижте сесията, която шлюзът е изградил. Списъкът с активни сесии показва пула, зададения адрес и всяка групова политика, която шлюзът е прикачил, и това е единственото доказателство, което има значение за налагането. Сравнете го с това, до което потребителят има достъп, а не с това, което политиката е имала предвид.

swanctl --list-sas

След това тествайте от клиента един разрешен и един забранен ресурс, защото адрес от правилния пул не доказва изолация. Ако шлюзът няма механизъм за желаното назначение, повече копия на атрибута няма да създадат такъв. Адрес от очаквания пул може да съществува заедно с пълен достъп до всеки друг пул. Изберете поддържан механизъм на политика или променете мрежовия дизайн нарочно.