Nid yw ychwanegu defnyddiwr at grŵp VPN yn rhoi mynediad ynddo’i hun
Mae aelodaeth grŵp yn un amod, nid yn ganiatâd. Edrychwch ar yr hyn y gwnaeth y porth ei baru, darllenwch y cofnod derbyn neu wrthod, a phrofwch y ddau ganlyniad.
Rydych wedi rhoi’r cyfrif yn y grŵp cywir, mae’r mewngofnodi wedi llwyddo, ac mae’r cysylltiad yn dal i gael ei wrthod, neu mae’n cysylltu ac yn cyrraedd dim defnyddiol. Yr ymateb arferol yw ychwanegu’r defnyddiwr at fwy o grwpiau nes bod rhywbeth yn ildio, a dyna sut mae sefydliadau yn rhoi llawer mwy nag y gofynnodd y tocyn. Mae aelodaeth grŵp yn un mewnbwn i’r penderfyniad awdurdodi, byth y penderfyniad ei hun: mae’r porth yn casglu ychydig o ffeithiau am y sesiwn, yn eu paru â pholisi wedi’i drefnu, ac yna’n penderfynu beth y caiff y sesiwn ei gyffwrdd.
Mae aelodaeth grŵp yn amod, nid yn ganiatâd
Yn RADIUS daw’r grŵp fel priodoledd awdurdodi, ac mae priodoleddau yn disgrifio’r sesiwn yn hytrach na’i chaniatáu. Mae’r gweinydd yn ateb ag Access-Accept neu Access-Reject; wrth dderbyn gall ychwanegu Filter-Id, Class neu briodoleddau twmwl RFC 2868, ac mae’r offer rhwydwaith ar y pen arall yn eu dehongli fel y penderfynodd y gwneuthurwr. Nid oes dim yn y protocol yn mapio grŵp i fynediad llawn; y sawl a osododd y polisi ar y porth neu’r gweinydd mynediad rhwydwaith sy’n ysgrifennu’r mapio hwnnw.
Dyna pam mae enw grŵp unfath yn ymddwyn yn wahanol ar ddau system. Mae Microsoft NPS yn cynnull polisïau rhwydwaith o amodau, cyfyngiadau a gosodiadau ac yn eu gwerthuso mewn trefn benodol. Mae gan OpenVPN Access Server ei fodel ei hun o grwpiau a rheolau mynediad, tra bod gweinydd OpenVPN cymunedol yn aml yn trosglwyddo’r cwestiwn i sgript client-connect neu ffeil client-config-dir.
Y rheol a barodd sy’n penderfynu, nid y grŵp roeddech yn ei ddisgwyl
Mae rhan fwyaf o beiriannau yn stopio ar y polisi cyntaf sy’n paru, neu ar yr un mwyaf penodol. Os yw polisi 3 yn gwrthod ac yw polisi 7 yn caniatáu, gall sesiwn fethu heb gyrraedd y rheol a fyddai wedi’i gadael drwodd. Mae’r drefn yn osodiad go iawn ar NPS ac ar y rhan fwyaf o gynhyrchion rheoli mynediad rhwydwaith.
Yr amodau sy’n teithio gyda’r grŵp yw’r hanner arall. Gall cyflwr y ddyfais, y dull dilysu, MFA wedi’i gwblhau, y rhwydwaith ffynhonnell, pwnc y dystysgrif neu ffenestr amser fod yn yr un polisi. Pan fydd un heb ei fodloni, nid yw’r polisi yn paru, mae’r peiriant yn disgyn drwodd, ac mae’r gwrthodiad diofyn yn gweithredu.
Mae manylion y cyfeirlyfr yn creu’r un rhith. Mae polisi sy’n paru aelodaeth grŵp Windows yn darllen y SIDs yn nhocyn y defnyddiwr, a dim ond grwpiau diogelwch a restrir yno, ni ymddengys grŵp dosbarthu byth. Mae’r prif grŵp yn cael ei gario yn ei faes ei hun, felly gall polisi sydd wedi’i binio iddo fethu’n dawel.
Darllenwch y cofnod derbyn neu wrthod cyn cyffwrdd grŵp
Gofynnwch un cwestiwn yn gyntaf: a gyrhaeddodd y cais y cam awdurdodi o gwbl? Ar NPS mae’r ateb yn y cofnod digwyddiadau, lle mae 6272 yn nodi mynediad a roddwyd, 6273 yn nodi gwrthodiad, a 6274 yn nodi cais a daflwyd gan y gweinydd cyn gwerthuso polisi. Mae’r tri rhif hynny yn rhannu’r broblem yn dri ymchwiliad gwahanol, a dim ond un sy’n ymwneud â grwpiau.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Pan nad yw’r cofnod yn gyraeddadwy, gofynnwch i’r gweinydd yn uniongyrchol a darllenwch beth mae’n ei ddychwelyd. Mae ateb heb Filter-Id a heb briodoleddau twmwl yn dweud bod y gweinydd yn ystyried y sesiwn yn gyffredin a bod y porth yn cymhwyso ei reolau ei hun. Mae ateb â phriodoleddau nad yw’r pwynt gorfodi yn eu rhoi ar waith yn fai arall: pasiodd yr awdurdodiad, ac anwybyddodd y ddyfais y canlyniad.
radtest alice 'password' 10.0.0.5 0 testing123Cymharwch y priodoleddau a ddychwelwyd â’r rhai y mae’r porth yn eu dogfennu, nid â’r hyn y mae enw’r grŵp yn ei awgrymu. Mae’r gymhariaeth hon fel arfer yn gwahanu problem polisi oddi wrth broblem gorfodi.
Nid yw newid grŵp yn ôl-weithredol
Mae priodoleddau awdurdodi yn cael eu dychwelyd unwaith, pan fydd y sesiwn yn cael ei dilysu. Mae’r porth yn eu storio ar y sesiwn ac yn ail-ddarllen y cyfeirlyfr ar gyfer pob pecyn, a dyna pam mae sesiwn sefydledig yn parhau i weithio ar ôl i chi dynnu rhywun o grŵp.
I wneud i’r newid weithredu mae angen penderfyniad awdurdodi newydd, nid allweddi ffres yn unig. Lle mae’r gweinydd yn cefnogi awdurdodi deinamig RFC 5176, mae Disconnect-Request neu CoA-Request i UDP 3799 yn gorfodi’r sesiwn i gael ei hailwerthuso; fel arall datgysylltwch y cleient a gadewch iddo ailgysylltu.
Trwsiwch yr amod, nid y grŵp
Unwaith y byddwch yn gwybod pa bolisi a weithiodd, mae’r atgyweiriad fel arfer yn fach: aildrefnwch wrthodiad sy’n cysgodi’r caniatâd bwriadedig, ychwanegwch yr amod ddyfais neu MFA sydd ar goll at y polisi roeddech yn ei olygu, neu ysgrifennwch reol gul ar gyfer yr un adnodd yn lle dyrchafu’r defnyddiwr i grŵp sy’n cario deg arall.
Mae dolen fer yn cadw’r newid yn onest:
- Ailgynhyrchwch y gwrthodiad â’r cyfrif gwreiddiol ac ysgrifennwch yr ID digwyddiad cyn newid unrhyw beth.
- Newidiwch un gwrthrych, trefn polisi, un amod neu un grŵp, a nodwch pa un.
- Agorwch sesiwn newydd, cadarnhewch fod y caniatâd i’w weld yn y cofnod, ac fod yr adnodd yn agor mewn gwirionedd.
- Profwch ddefnyddiwr y dylid ei wrthod o hyd, fel na wnaeth yr atgyweiriad ehangu’r polisi ar ddamwain.
Os yw’r caniatâd yn gywir a’r adnodd yn dal i beidio ag agor, mae’r broblem wedi symud i lwybrlunio neu ddatrys enwau ar yr eiliad y pasiodd yr awdurdodiad. Cadwch y ddau fai ar wahân a bydd y tocyn nesaf yn cymryd munudau, nid prynhawn.