Zašto RADIUS VLAN odgovor ne radi ništa za VPN korisnika

Dodate VLAN atribut u NPS politiku, VPN korisnik se poveže, a laptop ipak završi u zadanom poolu. RADIUS server vraća ono što ste tražili, zbog čega kvar izgleda kao problem s kešom. Obično nije. Access-Accept nosi naznake autorizacije, a samo mrežni pristupni server koji ih je primio može ih pretvoriti u mrežnu dodjelu.

Počnite od gatewaya, a ne od politike

Prođite lanac od klijenta prema unutra prije nego što išta promijenite. Klijent traži sesiju od gatewaya, gateway pita RADIUS smije li korisnik dobiti sesiju, a RADIUS odgovara rezultatom i skupom atributa. Zatim gateway primijeni ono što zna primijeniti.

Vaš prolaz počinje na četvrtom koraku, zato prva tri izgledaju zdravo. Ništa u razmjeni ne obavezuje gateway da implementira primljeni atribut. Odgovor je zahtjev upućen gatewayu, a ne činjenica o klijentu.

Šta preklopnik radi što VPN ne može

802.1X pristupni preklopnik je autentifikator s portovima, a dinamička dodjela VLAN-a premješta jedan od tih portova u VLAN koji preklopnik već nosi. RADIUS atributi tunela opisuju tu namjeru u obliku koji preklopnik razumije. Rutirani VPN prekida tunele, a ne portove preklopnika, i njegovi klijenti obično dobiju adresu i rutu umjesto članstva u broadcast domeni. Nema porta za premještanje, pa isti atribut nema na šta djelovati.

To je razlika u modelu, a ne greška proizvođača. Neki gatewayi dodaju vlastitu grupnu politiku, odabir poola ili mehanizam filtriranja koji na snimku ekrana izgleda slično. Drugi ne implementiraju ništa od toga, a atribut se bilježi i zanemaruje. Čitajte dokumentaciju za način daljinskog pristupa koji ste stvarno omogućili, a ne za onaj sa snimka ekrana.

Pročitajte odgovor koji je server stvarno poslao

Potvrdite šta je RADIUS vratio, a ne šta prikazuje uređivač politike. Testni zahtjev s istim korisničkim imenom i poznatom lozinkom ispisuje atribute odgovora u čitljivom obliku, što rješava pitanje u jednom koraku.

radtest alice secret 10.0.0.10 0 testing123

Ako VLAN atributi nedostaju u tom odgovoru, prvo popravite podudaranje politike. Ako su prisutni, server je odradio svoj dio, a praznina je nizvodno.

Dokažite prvo politiku sesije, zatim dostupnost

Sada pogledajte sesiju koju je gateway izgradio. Popis aktivnih sesija prikazuje pool, dodijeljenu adresu i svaku grupnu politiku koju je gateway priložio, a to je jedini dokaz koji je važan za provođenje. Uporedite to s onim do čega korisnik može doći, a ne s onim što je politika namjeravala.

swanctl --list-sas

Zatim s klijenta testirajte jedan dopušteni i jedan zabranjeni resurs, jer adresa iz ispravnog poola ne dokazuje izolaciju. Ako gateway nema mehanizam za dodjelu koju želite, više kopija atributa ga neće stvoriti. Adresa iz očekivanog poola može postojati uz pun pristup svakom drugom poolu. Odaberite podržani mehanizam politike ili namjerno promijenite dizajn mreže.