Proč odpověď RADIUS s VLAN nic neudělá pro uživatele VPN

Přidáte atribut VLAN do zásady NPS, uživatel VPN se připojí a notebook přesto skončí ve výchozím poolu. Server RADIUS vrací to, o co jste požádali, a proto selhání vypadá jako problém s cache. Obvykle není. Access-Accept nese pokyny k autorizaci a jen server síťového přístupu, který je přijal, z nich dokáže udělat síťové přiřazení.

Začněte u brány, ne u zásady

Projděte řetězec od klienta dovnitř, než cokoli změníte. Klient požádá bránu o relaci, brána se RADIUS zeptá, zda uživatel nějakou smí mít, a RADIUS odpoví výsledkem a sadou atributů. Potom brána použije to, co umí použít.

Váš průchod začíná čtvrtým krokem, a proto první tři vypadají zdravě. Nic ve výměně nenutí bránu implementovat atribut, který obdržela. Odpověď je požadavek na bránu, ne fakt o klientovi.

Co přepínač umí a VPN ne

Přístupový přepínač 802.1X je autentizátor s porty a dynamické přiřazení VLAN přesouvá jeden z těchto portů do VLAN, kterou přepínač již nese. Atributy tunelu RADIUS popisují tento záměr ve formě, které přepínač rozumí. Směrovaná VPN ukončuje tunely, ne porty přepínače, a její klienti obvykle dostanou adresu a trasu místo členství v broadcast doméně. Není žádný port k přesunu, takže stejný atribut nemá na co působit.

To je rozdíl v modelu, ne chyba dodavatele. Některé brány přidávají vlastní zásadu skupiny, výběr poolu nebo filtrační mechanismus, který na snímku obrazovky vypadá podobně. Jiné neimplementují nic z toho a atribut se zaloguje a ignoruje. Čtěte dokumentaci k režimu vzdáleného přístupu, který jste skutečně zapnuli, ne k tomu ze snímku obrazovky.

Přečtěte si odpověď, kterou server skutečně poslal

Ověřte, co RADIUS vrátil, ne co zobrazuje editor zásad. Testovací požadavek se stejným uživatelským jménem a známým heslem vypíše atributy odpovědi v čitelné podobě, což otázku vyřeší jedním krokem.

radtest alice secret 10.0.0.10 0 testing123

Pokud v této odpovědi atributy VLAN chybí, opravte nejprve shodu zásady. Pokud jsou přítomny, server udělal svou část a mezera je níže.

Nejprve prokažte zásadu relace, potom dosažitelnost

Nyní se podívejte na relaci, kterou brána sestavila. Seznam aktivních relací ukazuje pool, přidělenou adresu a případnou zásadu skupiny, kterou brána připojila, a to je jediný důkaz, který pro vynucení záleží. Porovnejte to s tím, k čemu se uživatel dostane, ne s tím, co zásada zamýšlela.

swanctl --list-sas

Potom z klienta otestujte jeden povolený a jeden zakázaný prostředek, protože adresa ze správného poolu izolaci neprokazuje. Pokud brána nemá mechanismus pro požadované přiřazení, další kopie atributu ho nevytvoří. Adresa z očekávaného poolu může existovat spolu s plným přístupem ke každému dalšímu poolu. Zvolte podporovaný mechanismus zásad nebo záměrně změňte návrh sítě.