VPN na FortiGate končí ve špatné skupině: párování RADIUS
Fortinet-Group-Name se porovnává s odpovědí, ne s místním názvem skupiny. Projděte tři názvy, než rozšíříte párování na Any.
Přihlášení uspěje, tunel se zvedne a uživatel skončí u špatné politiky nebo u žádné politiky. Nic v logu FortiGate neoznámí, že skupina chyběla, protože z jeho strany autentizace fungovala a párování skupiny se prostě nespustilo. Řetězec, který je třeba prozkoumat, obsahuje tři samostatné názvy a obvykle to není stejný řetězec.
Tři názvy se třemi úkoly
Zapište všechny tři, než se dotknete jakékoli konfigurace, protože dva z nich žijí v různých systémech.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Skupina v adresáři je to, co vyhodnocuje vaše politika RADIUS. Vrácený atribut je hodnota uvnitř odpovědi Access-Accept. Místní skupina FortiGate je kontejner, na který politika odkazuje jménem. Záměna kterýchkoli dvou z nich vytvoří přihlášení, které funguje, a autorizaci, která nefunguje.
Kde se párování skutečně provádí
Fortinet ve svém vysvětlení párování skupin RADIUS uvádí Fortinet-Group-Name jako výchozí atribut skupiny. FortiGate porovnává nakonfigurovaný vzdálený server a hodnotu názvu skupiny s tím, co odpověď nese, což znamená, že srovnání probíhá proti vrácenému řetězci, nikoli proti zobrazovanému názvu vaší místní skupiny.
To je důvod, proč místní skupina s názvem VPN-Engineering může stát vedle vrácené hodnoty vpn-engineering a nespárovat se s ničím. Velikost písmen a pravopis zde nejsou kosmetické. Vyberte jeden řetězec, použijte ho v odpovědi a odkazujte na stejný řetězec v pravidle párování brány.
Na FortiAuthenticatoru musí být skupina přidružena k atributu a zahrnuta v odpovídající servisní politice RADIUS, s povolenou kontrolou vrácení atributu skupiny, pokud je to relevantní.
Odpověď může uspět i bez atributu
Pro NPS nebo jiný server RADIUS vynuťte v politice podmínku skupiny adresáře a poté nakonfigurujte podporovaný atribut odpovědi. Úspěšná kontrola hesla sama o sobě vytvoří Access-Accept a Access-Accept bez řetězce skupiny je zcela platná odpověď, která na straně FortiGate nic neautorizuje. To je nejčastější podoba problému.
Definovat skupinu není totéž jako ji poslat. Jsou to dva konfigurační kroky na dvou různých obrazovkách a obvykle se dělá jen jeden z nich.
Proč je párování s Any past
Párování vzdálené skupiny Any je legitimní návrh, když server RADIUS už přijímá přesně tu populaci, kterou chcete. Zvolte toto delegování záměrně. Rozšíření párování, aby zmizel chybějící atribut, přijme každý účet, který server RADIUS zrovna přijme, včetně těch, které nikdy neměly mít přístup k VPN. Příznak zmizí a řízení přístupu tiše přestane existovat.
Pokud nedokážete pojmenovat, koho má server RADIUS přijímat, nejste na párování s Any připraveni.
Pro podporu si uchovejte čtyři záznamy
Když to stále nefunguje, shromážděte čtyři věci: vybranou politiku RADIUS, skutečně vrácený atribut skupiny, server FortiGate a hodnotu, se kterou byl porovnán, a výslednou místní skupinu. Tyto čtyři záznamy lokalizují poruchu, aniž by odhalily hesla nebo změnily členství ve skupinách, jen aby se ukázalo, co se stane.
Otestujte jeden autorizovaný a jeden účet mimo rozsah podle skutečného pravidla a zkontrolujte výslednou politiku a přístup ke zdrojům i výsledek autentizace. Jen tato dvojice vám řekne, zda párování dělá to, co si myslíte.