VPN FortiGate yn glanio yn y grŵp anghywir: paru RADIUS

Mae'r mewngofnodi'n llwyddo, mae'r tiwnel yn codi, ac mae'r defnyddiwr yn glanio ar y polisi anghywir neu ar ddim polisi o gwbl. Nid oes dim yn log FortiGate yn cyhoeddi bod y grŵp ar goll, oherwydd o'i ochr ef gweithiodd y dilysu ac ni thaniodd y paru grŵp o gwbl. Mae'r gadwyn y mae angen ei harchwilio'n cynnwys tri enw ar wahân, ac fel arfer nid ydynt yr un llinyn.

Tri enw â thair swydd

Ysgrifennwch y tri i gyd cyn cyffwrdd ag unrhyw ffurfweddiad, oherwydd mae dau ohonynt yn byw ar wahanol systemau.

Y grŵp cyfeiriadur yw'r hyn y mae'ch polisi RADIUS yn ei werthuso. Y priodoledd a ddychwelwyd yw gwerth y tu mewn i ateb Access-Accept. Mae grŵp lleol FortiGate yn gynhwysydd y mae'r polisi'n cyfeirio ato wrth ei enw. Mae drysu unrhyw ddau ohonynt yn cynhyrchu mewngofnodi sy'n gweithio ac awdurdodiad nad yw'n gweithio.

Lle mae'r paru'n digwydd mewn gwirionedd

Mae esboniad paru grwpiau RADIUS Fortinet yn nodi Fortinet-Group-Name fel priodoledd grŵp diofyn. Mae FortiGate yn cymharu'r gweinydd pell a ffurfweddwyd a gwerth enw'r grŵp â'r hyn y mae'r ateb yn ei gario, sy'n golygu bod y gymhariaeth yn erbyn y llinyn a ddychwelwyd, nid yn erbyn label arddangos eich grŵp lleol.

Dyna pam y gall grŵp lleol o'r enw VPN-Engineering eistedd wrth ymyl gwerth a ddychwelwyd o vpn-engineering heb baru dim o gwbl. Nid yw maint llythrennau a sillafu yn gosmetic yn y gymhariaeth hon. Dewiswch un llinyn, defnyddiwch ef yn yr ateb, a chyfeiriwch at yr un llinyn yn rheol baru'r porth.

Ar FortiAuthenticator rhaid cysylltu'r grŵp â'r briodoledd a'i gynnwys yn y polisi gwasanaeth RADIUS cyfatebol, gyda'r rheolaeth dychwelyd priodoledd grŵp wedi'i galluogi lle bo'n berthnasol.

Gall yr ateb lwyddo heb y briodoledd

Ar gyfer NPS neu weinydd RADIUS arall, gorfodwch yr amod grŵp cyfeiriadur yn y polisi ac yna ffurfweddu'r briodoledd ateb a gefnogir. Mae gwiriad cyfrinair llwyddiannus yn cynhyrchu Access-Accept ar ei ben ei hun, ac mae Access-Accept heb linyn grŵp yn ateb hollol ddilys nad yw'n awdurdodi dim ar ochr FortiGate. Dyma'r ffurf fwyaf cyffredin ar y broblem.

Nid yw diffinio grŵp yr un peth ag anfon un. Dau gam ffurfweddu ar ddau sgrin wahanol ydynt, a dim ond un ohonynt a wneir fel arfer.

Pam mae paru ag Any yn fagl

Mae paru grŵp pell Any yn ddyluniad dilys pan fo'r gweinydd RADIUS eisoes yn derbyn yn union y boblogaeth rydych ei heisiau. Dewiswch y dirprwyo hwnnw'n fwriadol. Mae ehangu'r paru i wneud i briodoledd coll fynd i ffwrdd yn derbyn pob cyfrif y mae'r gweinydd RADIUS yn digwydd ei dderbyn, gan gynnwys y rhai na fwriadwyd iddynt gael mynediad VPN erioed. Mae'r symptom yn diflannu ac mae'r rheolaeth mynediad yn stopio bodoli'n dawel.

Os na allwch enwi pwy y dylai'r gweinydd RADIUS ei dderbyn, nid ydych yn barod ar gyfer paru Any.

Cadwch bedwar cofnod ar gyfer cymorth

Pan nad yw'n gweithio o hyd, casglwch bedwar peth: y polisi RADIUS a ddewiswyd, y briodoledd grŵp a ddychwelwyd mewn gwirionedd, y gweinydd FortiGate a'r gwerth y cafodd ei baru ag ef, a'r grŵp lleol canlyniadol. Mae'r pedwar cofnod hynny'n lleoli'r toriad heb ddatgelu cyfrineiriau nac ail-lunio aelodaeth grŵp i weld beth sy'n digwydd.

Profwch un cyfrif awdurdodedig ac un y tu allan i'r cwmpas o dan y rheol wirioneddol, a gwiriwch y polisi a'r mynediad i adnoddau sy'n deillio o hynny yn ogystal â chanlyniad y dilysu. Dim ond y pâr sy'n dweud wrthych a yw'r paru'n gwneud yr hyn rydych yn ei feddwl.