Per què una resposta RADIUS de VLAN no fa res per a un usuari de VPN

Afegiu l’atribut VLAN a la política NPS, l’usuari de VPN es connecta i l’ordinador portàtil continua caient al pool per defecte. El servidor RADIUS retorna el que heu demanat, cosa que fa que la fallada sembli un problema de memòria cau. Normalment no ho és. Un Access-Accept porta indicis d’autorització, i només el servidor d’accés a la xarxa que els ha rebut pot convertir-ne un en una assignació de xarxa.

Comenceu per la passarel·la, no per la política

Recorreu la cadena des del client cap endins abans de canviar res. El client demana una sessió a la passarel·la, la passarel·la pregunta a RADIUS si l’usuari pot tenir-ne una, i RADIUS respon amb un resultat i un conjunt d’atributs. Després la passarel·la aplica el que sap aplicar.

El vostre recorregut comença al quart pas, i per això els tres primers semblen sans. Res de l’intercanvi obliga la passarel·la a implementar un atribut que ha rebut. La resposta és una petició a la passarel·la, no un fet sobre el client.

Què fa el commutador que la VPN no pot

Un commutador d’accés 802.1X és un autenticador amb ports, i l’assignació dinàmica de VLAN mou un d’aquests ports a una VLAN que el commutador ja transporta. Els atributs de túnel RADIUS descriuen aquesta intenció en una forma que el commutador entén. Una VPN encaminada acaba túnels, no ports de commutador, i els seus clients solen obtenir una adreça i una ruta en lloc de pertànyer a un domini de difusió. No hi ha cap port per moure, així que el mateix atribut no té res sobre què actuar.

Això és una diferència de model, no un error del proveïdor. Algunes passarel·les afegeixen la seva pròpia política de grup, selecció de pool o mecanisme de filtratge que en una captura de pantalla sembla similar. D’altres no n’implementen res, i l’atribut es registra i s’ignora. Llegiu la documentació del mode d’accés remot que heu activat realment, no la de la captura de pantalla.

Llegiu la resposta que el servidor ha enviat realment

Confirmeu què ha retornat RADIUS en lloc del que mostra l’editor de polítiques. Una petició de prova amb el mateix nom d’usuari i una contrasenya coneguda imprimeix els atributs de resposta en forma llegible, cosa que resol la qüestió en un pas.

radtest alice secret 10.0.0.10 0 testing123

Si els atributs VLAN falten en aquesta resposta, arregleu primer la coincidència de la política. Si hi són, el servidor ha fet la seva part i el buit és més avall.

Demostreu primer la política de sessió i després l’abast

Ara mireu la sessió que ha construït la passarel·la. La llista de sessions actives mostra el pool, l’adreça assignada i qualsevol política de grup que la passarel·la hagi adjuntat, i aquesta és l’única evidència que importa per a l’aplicació. Compareu-ho amb el que l’usuari pot assolir, no amb el que pretenia la política.

swanctl --list-sas

Després proveu des del client un recurs permès i un de denegat, perquè una adreça del pool correcte no demostra aïllament. Si la passarel·la no té cap mecanisme per a l’assignació que voleu, més còpies de l’atribut no en crearan cap. Una adreça del pool esperat pot coexistir amb accés complet a tots els altres pools. Trieu un mecanisme de política suportat o canvieu el disseny de la xarxa a propòsit.