FortiGate VPN ভুল গ্রুপে পড়ছে: RADIUS মিলকরণ
Fortinet-Group-Name আপনার স্থানীয় গ্রুপ লেবেলের সঙ্গে নয়, রিপ্লাইয়ের সঙ্গে মেলানো হয়। মিলকরণ Any পর্যন্ত প্রশস্ত করার আগে তিনটি নাম যাচাই করুন।
লগইন সফল হয়, টানেল উঠে আসে, আর ব্যবহারকারী ভুল পলিসিতে বা কোনো পলিসিতেই পড়ে না। FortiGate লগে কোনো কিছুই জানায় না যে গ্রুপটি অনুপস্থিত ছিল, কারণ তার দিক থেকে প্রমাণীকরণ কাজ করেছে এবং গ্রুপ মিলকরণ কেবল ঘটেনি। যে শৃঙ্খলটি আপনাকে পরীক্ষা করতে হবে তাতে তিনটি আলাদা নাম আছে, এবং সেগুলো সাধারণত একই স্ট্রিং নয়।
তিন কাজে তিন নাম
কোনো কনফিগারেশন ধরার আগে তিনটিই লিখে নিন, কারণ দুটি আলাদা সিস্টেমে থাকে।
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
ডিরেক্টরি গ্রুপ হলো যা আপনার RADIUS পলিসি মূল্যায়ন করে। ফেরত দেওয়া অ্যাট্রিবিউট হলো Access-Accept রিপ্লাইয়ের ভিতরের একটি মান। FortiGate স্থানীয় গ্রুপ হলো এমন একটি কন্টেইনার যাকে পলিসি নাম ধরে উল্লেখ করে। এর যেকোনো দুটি গুলিয়ে ফেললে এমন লগইন তৈরি হয় যা কাজ করে কিন্তু অনুমোদন কাজ করে না।
মিলকরণ আসলে কোথায় হয়
Fortinet-এর RADIUS গ্রুপ মিলকরণের ব্যাখ্যায় বলা হয়েছে Fortinet-Group-Name হলো ডিফল্ট গ্রুপ অ্যাট্রিবিউট। FortiGate কনফিগার করা রিমোট সার্ভার ও গ্রুপ-নামের মানকে রিপ্লাই যা বহন করে তার সঙ্গে তুলনা করে, অর্থাৎ তুলনাটি ফেরত দেওয়া স্ট্রিংয়ের সঙ্গে, আপনার স্থানীয় গ্রুপের প্রদর্শিত লেবেলের সঙ্গে নয়।
এই কারণেই VPN-Engineering নামের একটি স্থানীয় গ্রুপ vpn-engineering হিসেবে ফেরত দেওয়া মানের পাশে থাকতে পারে এবং কিছুই মেলাতে পারে না। এই তুলনায় হাতের লেখা ও বানান সৌন্দর্যের বিষয় নয়। একটি স্ট্রিং বেছে নিন, রিপ্লাইতে সেটিই ব্যবহার করুন, এবং গেটওয়ের মিলকরণ নিয়মে একই স্ট্রিং উল্লেখ করুন।
FortiAuthenticator-এ গ্রুপটিকে অ্যাট্রিবিউটের সঙ্গে যুক্ত করতে হবে এবং সংশ্লিষ্ট RADIUS সার্ভিস পলিসিতে অন্তর্ভুক্ত করতে হবে, যেখানে প্রযোজ্য সেখানে গ্রুপ-অ্যাট্রিবিউট রিটার্ন নিয়ন্ত্রণ সক্রিয় রেখে।
অ্যাট্রিবিউট ছাড়াও রিপ্লাই সফল হতে পারে
NPS বা অন্য RADIUS সার্ভারের জন্য পলিসিতে ডিরেক্টরি-গ্রুপ শর্ত প্রয়োগ করুন এবং তারপর সমর্থিত রিপ্লাই অ্যাট্রিবিউট কনফিগার করুন। সফল পাসওয়ার্ড যাচাই নিজে থেকেই একটি Access-Accept তৈরি করে, এবং গ্রুপ স্ট্রিং ছাড়া Access-Accept হলো সম্পূর্ণ বৈধ রিপ্লাই যা FortiGate-এর দিকে কিছুই অনুমোদন করে না। সমস্যাটির এটিই সবচেয়ে সাধারণ রূপ।
গ্রুপ সংজ্ঞায়িত করা আর তা পাঠানো এক নয়। এগুলো দুটি আলাদা স্ক্রিনে দুটি কনফিগারেশন ধাপ, এবং সাধারণত একটিই করা হয়।
কেন Any-তে মেলানো একটি ফাঁদ
Any রিমোট-গ্রুপ মিলকরণ বৈধ নকশা যখন RADIUS সার্ভার ইতিমধ্যে ঠিক যে জনগোষ্ঠী চান তাকেই গ্রহণ করে। এই প্রতিনিধিত্ব সচেতনভাবে বেছে নিন। অনুপস্থিত অ্যাট্রিবিউট দূর করতে মিলকরণ প্রশস্ত করলে RADIUS সার্ভার যে কোনো অ্যাকাউন্ট গ্রহণ করে সেগুলোও ঢুকে পড়ে, যাদের কখনো VPN অ্যাক্সেসের কথা ভাবা হয়নি। উপসর্গ মিলিয়ে যায় আর অ্যাক্সেস নিয়ন্ত্রণ চুপচাপ অস্তিত্বহীন হয়ে পড়ে।
RADIUS সার্ভার কাকে গ্রহণ করবে তা যদি নাম বলতে না পারেন, তাহলে Any মিলকরণের জন্য আপনি প্রস্তুত নন।
সাপোর্টের জন্য চারটি রেকর্ড রাখুন
যখন তখনও কাজ না করে, চারটি জিনিস সংগ্রহ করুন: যে RADIUS পলিসি বাছা হয়েছিল, প্রকৃতপক্ষে ফেরত দেওয়া গ্রুপ অ্যাট্রিবিউট, যে FortiGate সার্ভার ও মানের সঙ্গে মেলানো হয়েছিল, এবং ফলস্বরূপ স্থানীয় গ্রুপ। এই চারটি রেকর্ড পাসওয়ার্ড প্রকাশ না করেই এবং গ্রুপ সদস্যপদ না বদলেই ভাঙনের জায়গা চিহ্নিত করে।
প্রকৃত নিয়মের অধীনে একটি অনুমোদিত ও একটি পরিধির বাইরের অ্যাকাউন্ট পরীক্ষা করুন, এবং প্রমাণীকরণের ফলাফলের পাশাপাশি ফলস্বরূপ পলিসি ও রিসোর্স অ্যাক্সেস যাচাই করুন। কেবল এই জোড়াই বলে দেয় মিলকরণ আপনার ভাবনা অনুযায়ী কাজ করছে কি না।