VPN FortiGate προσγειώνεται σε λάθος ομάδα: αντιστοίχιση RADIUS

Η σύνδεση πετυχαίνει, η σήραγγα ανεβαίνει και ο χρήστης προσγειώνεται σε λάθος πολιτική ή σε καμία πολιτική. Τίποτα στο αρχείο καταγραφής του FortiGate δεν αναγγέλλει ότι έλειπε η ομάδα, γιατί από τη δική του πλευρά η ταυτοποίηση λειτούργησε και η αντιστοίχιση ομάδας απλώς δεν ενεργοποιήθηκε. Η αλυσίδα που πρέπει να ελέγξετε περιέχει τρία ξεχωριστά ονόματα, και συνήθως δεν είναι η ίδια συμβολοσειρά.

Τρία ονόματα με τρεις δουλειές

Γράψτε και τα τρία πριν αγγίξετε οποιαδήποτε διαμόρφωση, γιατί δύο από αυτά ζουν σε διαφορετικά συστήματα.

Η ομάδα καταλόγου είναι αυτό που αξιολογεί η πολιτική RADIUS σας. Το επιστρεφόμενο γνώρισμα είναι μια τιμή μέσα στην απάντηση Access-Accept. Η τοπική ομάδα FortiGate είναι ένα δοχείο στο οποίο η πολιτική αναφέρεται ονομαστικά. Η σύγχυση οποιωνδήποτε δύο από αυτά παράγει σύνδεση που λειτουργεί και εξουσιοδότηση που δεν λειτουργεί.

Πού γίνεται στην πραγματικότητα η αντιστοίχιση

Η εξήγηση αντιστοίχισης ομάδων RADIUS της Fortinet αναφέρει Fortinet-Group-Name ως προεπιλεγμένο γνώρισμα ομάδας. Το FortiGate συγκρίνει τον διαμορφωμένο απομακρυσμένο διακομιστή και την τιμή του ονόματος ομάδας με αυτό που φέρει η απάντηση, που σημαίνει ότι η σύγκριση γίνεται με την επιστρεφόμενη συμβολοσειρά, όχι με την ετικέτα εμφάνισης της τοπικής σας ομάδας.

Γι' αυτό μια τοπική ομάδα που ονομάζεται VPN-Engineering μπορεί να βρίσκεται δίπλα σε μια επιστρεφόμενη τιμή vpn-engineering και να μην αντιστοιχίζει τίποτα. Τα κεφαλαία και η ορθογραφία δεν είναι καλλωπιστικά σε αυτή τη σύγκριση. Επιλέξτε μία συμβολοσειρά, χρησιμοποιήστε την στην απάντηση και αναφερθείτε στην ίδια συμβολοσειρά στον κανόνα αντιστοίχισης της πύλης.

Στο FortiAuthenticator η ομάδα πρέπει να συσχετιστεί με το γνώρισμα και να συμπεριληφθεί στην αντίστοιχη πολιτική υπηρεσίας RADIUS, με τον έλεγχο επιστροφής γνωρίσματος ομάδας ενεργοποιημένο όπου ισχύει.

Η απάντηση μπορεί να πετύχει χωρίς το γνώρισμα

Για το NPS ή άλλο διακομιστή RADIUS, επιβάλετε τη συνθήκη ομάδας καταλόγου στην πολιτική και μετά διαμορφώστε το υποστηριζόμενο γνώρισμα απάντησης. Ένας επιτυχής έλεγχος κωδικού πρόσβασης παράγει από μόνος του ένα Access-Accept, και ένα Access-Accept χωρίς συμβολοσειρά ομάδας είναι απολύτως έγκυρη απάντηση που δεν εξουσιοδοτεί τίποτα στην πλευρά του FortiGate. Αυτή είναι η πιο συνηθισμένη μορφή του προβλήματος.

Το να ορίσεις μια ομάδα δεν είναι το ίδιο με το να τη στείλεις. Είναι δύο βήματα διαμόρφωσης σε δύο διαφορετικές οθόνες, και συνήθως γίνεται μόνο το ένα.

Γιατί η αντιστοίχιση με Any είναι παγίδα

Η αντιστοίχιση απομακρυσμένης ομάδας Any είναι έγκυρος σχεδιασμός όταν ο διακομιστής RADIUS δέχεται ήδη ακριβώς τον πληθυσμό που θέλετε. Επιλέξτε αυτή την εκχώρηση σκόπιμα. Η διεύρυνση της αντιστοίχισης για να εξαφανιστεί ένα γνώρισμα που λείπει δέχεται κάθε λογαριασμό που τυχαίνει να δεχτεί ο διακομιστής RADIUS, μαζί με όσους δεν προορίζονταν ποτέ για πρόσβαση VPN. Το σύμπτωμα εξαφανίζεται και ο έλεγχος πρόσβασης σταματά σιωπηλά να υπάρχει.

Αν δεν μπορείτε να ονομάσετε ποιον υποτίθεται ότι δέχεται ο διακομιστής RADIUS, δεν είστε έτοιμοι για αντιστοίχιση Any.

Κρατήστε τέσσερα αρχεία για υποστήριξη

Όταν ακόμη δεν λειτουργεί, συλλέξτε τέσσερα πράγματα: την πολιτική RADIUS που επιλέχθηκε, το γνώρισμα ομάδας που επιστράφηκε πραγματικά, τον διακομιστή FortiGate και την τιμή με την οποία αντιστοιχίστηκε, και την τοπική ομάδα που προέκυψε. Αυτά τα τέσσερα αρχεία εντοπίζουν το σπάσιμο χωρίς να εκθέτουν κωδικούς πρόσβασης ή να αλλάζουν τη συμμετοχή σε ομάδες για να δουν τι θα συμβεί.

Δοκιμάστε έναν εξουσιοδοτημένο και έναν λογαριασμό εκτός πεδίου υπό τον πραγματικό κανόνα, και ελέγξτε την πολιτική και την πρόσβαση στους πόρους που προκύπτουν καθώς και το αποτέλεσμα της ταυτοποίησης. Μόνο το ζεύγος σας λέει αν η αντιστοίχιση κάνει αυτό που νομίζετε.