FortiGate VPN završava u pogrešnoj grupi: RADIUS podudaranje
Fortinet-Group-Name se poredi sa odgovorom, a ne sa lokalnim nazivom grupe. Provjerite tri naziva prije nego što proširite podudaranje na Any.
Prijava uspije, tunel se podigne, a korisnik završi na pogrešnoj politici ili na nikakvoj politici. Ništa u FortiGate zapisu ne objavljuje da je grupa nedostajala, jer je s njegove strane autentifikacija radila, a podudaranje grupe jednostavno nije aktivirano. Lanac koji trebate pregledati sadrži tri odvojena naziva i oni obično nisu isti string.
Tri naziva s tri zadatka
Zapišite sva tri prije nego što dotaknete bilo koju konfiguraciju, jer dva od njih žive na različitim sistemima.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Direktorijska grupa je ono što vaša RADIUS politika procjenjuje. Vraćeni atribut je vrijednost unutar Access-Accept odgovora. Lokalna FortiGate grupa je kontejner na koji se politika poziva po imenu. Miješanje bilo koja dva od njih daje prijavu koja radi i autorizaciju koja ne radi.
Gdje se podudaranje zapravo obavlja
Fortinetovo objašnjenje RADIUS podudaranja grupa navodi da je Fortinet-Group-Name zadani atribut grupe. FortiGate poredi konfigurisani udaljeni server i vrijednost naziva grupe s onim što odgovor nosi, što znači da se poređenje vrši s vraćenim stringom, a ne s prikaznim nazivom vaše lokalne grupe.
Zato lokalna grupa nazvana VPN-Engineering može stajati pored vraćene vrijednosti vpn-engineering i ne podudarati se ni s čim. Velika i mala slova te pravopis nisu kozmetički u ovom poređenju. Odaberite jedan string, koristite ga u odgovoru i pozovite se na isti string u pravilu podudaranja na mrežnom prolazu.
Na FortiAuthenticatoru grupa mora biti povezana s atributom i uključena u odgovarajuću RADIUS servisnu politiku, uz omogućenu kontrolu vraćanja atributa grupe gdje je primjenjivo.
Odgovor može uspjeti i bez atributa
Za NPS ili drugi RADIUS server, nametnite uslov direktorijske grupe u politici, a zatim konfigurišite podržani atribut odgovora. Uspješna provjera lozinke sama po sebi proizvodi Access-Accept, a Access-Accept bez stringa grupe potpuno je valjan odgovor koji ništa ne autorizuje na strani FortiGate. To je najčešći oblik problema.
Definisati grupu nije isto što i poslati je. To su dva konfiguracijska koraka na dva različita ekrana i obično se izvodi samo jedan od njih.
Zašto je podudaranje s Any zamka
Podudaranje s udaljenom grupom Any legitiman je dizajn kada RADIUS server već prima tačno onu populaciju koju želite. Odaberite to delegiranje namjerno. Proširivanje podudaranja da bi nestao atribut koji nedostaje prima svaki račun koji RADIUS server slučajno prihvati, uključujući one kojima VPN pristup nikada nije bio namijenjen. Simptom nestaje i kontrola pristupa tiho prestaje postojati.
Ako ne možete imenovati koga RADIUS server treba primati, niste spremni za podudaranje s Any.
Čuvajte četiri zapisa za podršku
Kada i dalje ne radi, prikupite četiri stvari: RADIUS politiku koja je odabrana, atribut grupe koji je stvarno vraćen, FortiGate server i vrijednost s kojom je upoređen, i rezultirajuću lokalnu grupu. Ta četiri zapisa lociraju prekid bez otkrivanja lozinki ili mijenjanja članstva u grupi da bi se vidjelo šta se događa.
Testirajte jedan ovlašteni i jedan račun izvan opsega pod stvarnim pravilom i provjerite rezultirajuću politiku i pristup resursima, kao i rezultat autentifikacije. Samo par govori da li podudaranje radi ono što mislite.