La VPN de FortiGate cau al grup equivocat: coincidència RADIUS
Fortinet-Group-Name es compara amb la resposta, no amb l'etiqueta local del grup. Reviseu els tres noms abans d'ampliar la coincidència a Any.
L'inici de sessió té èxit, el túnel s'aixeca i l'usuari acaba en una política equivocada o en cap política. Res al registre de FortiGate anuncia que faltava el grup, perquè des del seu costat l'autenticació va funcionar i la coincidència del grup simplement no es va activar. La cadena que cal inspeccionar conté tres noms separats, i normalment no són la mateixa cadena.
Tres noms amb tres funcions
Anoteu els tres abans de tocar cap configuració, perquè dos d'ells viuen en sistemes diferents.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
El grup del directori és el que avalua la política RADIUS. L'atribut retornat és un valor dins la resposta Access-Accept. El grup local de FortiGate és un contenidor al qual la política fa referència pel nom. Confondre'n dos qualssevol produeix un inici de sessió que funciona i una autorització que no funciona.
On es fa realment la coincidència
L' explicació de la coincidència de grups RADIUS de Fortinet assenyala Fortinet-Group-Name com a atribut de grup per defecte. FortiGate compara el servidor remot configurat i el valor del nom del grup amb el que porta la resposta, cosa que significa que la comparació es fa contra la cadena retornada, no contra l'etiqueta de visualització del vostre grup local.
Per això un grup local anomenat VPN-Engineering pot seure al costat d'un valor retornat vpn-engineering i no coincidir amb res. Les majúscules i l'ortografia no són cosmètiques en aquesta comparació. Trieu una cadena, useu-la a la resposta i referencieu la mateixa cadena a la regla de coincidència del gateway.
A FortiAuthenticator el grup s'ha d'associar amb l'atribut i incloure's a la política de servei RADIUS corresponent, amb el control de retorn de l'atribut de grup habilitat quan correspongui.
La resposta pot tenir èxit sense l'atribut
Per a NPS o un altre servidor RADIUS, apliqueu la condició del grup del directori a la política i després configureu l'atribut de resposta admès. Una comprovació de contrasenya correcta produeix un Access-Accept per si sola, i un Access-Accept sense cadena de grup és una resposta perfectament vàlida que no autoritza res al costat de FortiGate. Aquesta és la forma més comuna del problema.
Definir un grup no és el mateix que enviar-lo. Són dos passos de configuració en dues pantalles diferents, i normalment només se'n fa un.
Per què coincidir amb Any és un parany
Una coincidència de grup remot Any és un disseny legítim quan el servidor RADIUS ja admet exactament la població que voleu. Trieu aquesta delegació deliberadament. Ampliar la coincidència per fer desaparèixer un atribut que falta admet tots els comptes que el servidor RADIUS accepta, incloent-hi els que mai no havien de tenir accés a la VPN. El símptoma desapareix i el control d'accés deixa d'existir en silenci.
Si no podeu nomenar qui ha d'admetre el servidor RADIUS, no esteu a punt per a una coincidència Any.
Conserveu quatre registres per al suport
Quan encara no funcioni, recolliu quatre coses: la política RADIUS seleccionada, l'atribut de grup realment retornat, el servidor FortiGate i el valor amb què s'ha comparat, i el grup local resultant. Aquests quatre registres localitzen el trencament sense exposar contrasenyes ni canviar la pertinença als grups per veure què passa.
Proveu un compte autoritzat i un de fora d'abast sota la regla real, i comproveu la política i l'accés als recursos resultants, així com el resultat de l'autenticació. Només la parella us diu si la coincidència fa el que penseu.