FortiGate VPN havner i den forkerte gruppe: RADIUS-matchning

Loginet lykkes, tunnelen kommer op, og brugeren havner på den forkerte politik eller slet ingen politik. Intet i FortiGate-loggen fortæller, at gruppen manglede, for fra dens side virkede autentificeringen, og gruppematchningen blev simpelthen ikke udløst. Den kæde, du skal undersøge, indeholder tre separate navne, og de er normalt ikke den samme streng.

Tre navne med tre opgaver

Skriv alle tre ned, før du rører ved nogen konfiguration, for to af dem lever på forskellige systemer.

Mappegruppen er det, din RADIUS-politik evaluerer. Det returnerede attribut er en værdi inde i Access-Accept-svaret. Den lokale FortiGate-gruppe er en beholder, som politikken refererer til ved navn. Forveksler du blot to af dem, får du et login, der virker, og en autorisation, der ikke gør.

Hvor matchningen faktisk foregår

Fortinets forklaring af RADIUS-gruppematchning angiver Fortinet-Group-Name som standardgruppattribut. FortiGate sammenligner den konfigurerede fjernserver og gruppenavnværdien med det, svaret bærer, hvilket betyder, at sammenligningen er mod den returnerede streng, ikke mod din lokale gruppes visningsnavn.

Det er derfor, en lokal gruppe kaldet VPN-Engineering kan stå ved siden af en returneret værdi på vpn-engineering og slet ikke matche noget. Store og små bogstaver og stavning er ikke kosmetik i denne sammenligning. Vælg én streng, brug den i svaret, og referer til den samme streng i gatewayens matchningsregel.

På FortiAuthenticator skal gruppen knyttes til attributten og medtages i den matchende RADIUS-tjenestepolitik, med gruppeattribut-returkontrollen aktiveret, hvor det er relevant.

Svaret kan lykkes uden attributten

For NPS eller en anden RADIUS-server skal du håndhæve mappegruppebetingelsen i politikken og derefter konfigurere det understøttede svarattribut. En vellykket adgangskodekontrol producerer et Access-Accept af sig selv, og et Access-Accept uden gruppestreng er et fuldstændig gyldigt svar, der ikke autoriserer noget på FortiGate-siden. Det er den mest almindelige form for problemet.

At definere en gruppe er ikke det samme som at sende den. Det er to konfigurationstrin på to forskellige skærme, og normalt udføres kun det ene.

Hvorfor matchning med Any er en fælde

En Any-fjerngruppematchning er et legitimt design, når RADIUS-serveren allerede optager præcis den population, du ønsker. Vælg den delegation bevidst. Udbreder du matchningen for at få en manglende attribut til at forsvinde, optages enhver konto, som RADIUS-serveren tilfældigvis accepterer, inklusive dem, der aldrig var tiltænkt VPN-adgang. Symptomet forsvinder, og adgangskontrollen holder stille op med at eksistere.

Hvis du ikke kan navngive, hvem RADIUS-serveren skal optage, er du ikke klar til en Any-matchning.

Gem fire poster til support

Når det stadig ikke virker, indsaml fire ting: den valgte RADIUS-politik, den gruppeattribut der faktisk blev returneret, den FortiGate-server og værdi den blev matchet mod, og den resulterende lokale gruppe. De fire poster lokaliserer bruddet uden at afsløre adgangskoder eller ændre gruppemedlemskab for at se, hvad der sker.

Test én autoriseret og én konto uden for omfanget under den rigtige regel, og kontroller den resulterende politik og ressourceadgang samt autentificeringsresultatet. Kun parret fortæller, om matchningen gør, hvad du tror.