Γιατί μια απάντηση RADIUS VLAN δεν κάνει τίποτα για έναν χρήστη VPN

Προσθέτετε το χαρακτηριστικό VLAN στην πολιτική NPS, ο χρήστης VPN συνδέεται και ο φορητός υπολογιστής καταλήγει ακόμη στην προεπιλεγμένη δεξαμενή. Ο διακομιστής RADIUS επιστρέφει αυτό που ζητήσατε, και γι’ αυτό η αποτυχία μοιάζει με πρόβλημα προσωρινής μνήμης. Συνήθως δεν είναι. Ένα Access-Accept φέρει ενδείξεις εξουσιοδότησης και μόνο ο διακομιστής πρόσβασης δικτύου που τις έλαβε μπορεί να μετατρέψει μία από αυτές σε ανάθεση δικτύου.

Ξεκινήστε από την πύλη, όχι από την πολιτική

Ακολουθήστε την αλυσίδα από τον πελάτη προς τα μέσα πριν αλλάξετε οτιδήποτε. Ο πελάτης ζητά συνεδρία από την πύλη, η πύλη ρωτά το RADIUS αν επιτρέπεται στον χρήστη να έχει μία, και το RADIUS απαντά με αποτέλεσμα και ένα σύνολο χαρακτηριστικών. Έπειτα η πύλη εφαρμόζει ό,τι ξέρει να εφαρμόζει.

Η διαδρομή σας ξεκινά στο τέταρτο βήμα, γι’ αυτό τα τρία πρώτα φαίνονται υγιή. Τίποτα στην ανταλλαγή δεν υποχρεώνει την πύλη να υλοποιήσει ένα χαρακτηριστικό που έλαβε. Η απάντηση είναι αίτημα προς την πύλη, όχι γεγονός για τον πελάτη.

Τι κάνει ο μεταγωγός που δεν μπορεί το VPN

Ένας μεταγωγός πρόσβασης 802.1X είναι ένας αυθεντικοποιητής με θύρες, και η δυναμική ανάθεση VLAN μετακινεί μία από αυτές τις θύρες σε ένα VLAN που ο μεταγωγός ήδη μεταφέρει. Τα χαρακτηριστικά σήραγγας RADIUS περιγράφουν αυτή την πρόθεση σε μορφή που ο μεταγωγός καταλαβαίνει. Ένα δρομολογημένο VPN τερματίζει σήραγγες, όχι θύρες μεταγωγού, και οι πελάτες του συνήθως παίρνουν διεύθυνση και διαδρομή αντί για συμμετοχή σε τομέα εκπομπής. Δεν υπάρχει θύρα για μετακίνηση, άρα το ίδιο χαρακτηριστικό δεν έχει τίποτα να επηρεάσει.

Αυτή είναι διαφορά μοντέλου, όχι σφάλμα προμηθευτή. Ορισμένες πύλες προσθέτουν δική τους πολιτική ομάδας, επιλογή δεξαμενής ή μηχανισμό φιλτραρίσματος που μοιάζει σε ένα στιγμιότυπο οθόνης. Άλλες δεν υλοποιούν τίποτα από αυτά, και το χαρακτηριστικό καταγράφεται και αγνοείται. Διαβάστε την τεκμηρίωση για τη λειτουργία απομακρυσμένης πρόσβασης που ενεργοποιήσατε πραγματικά, όχι για εκείνη του στιγμιότυπου.

Διαβάστε την απάντηση που έστειλε πραγματικά ο διακομιστής

Επιβεβαιώστε τι επέστρεψε το RADIUS και όχι τι εμφανίζει ο επεξεργαστής πολιτικής. Ένα δοκιμαστικό αίτημα με το ίδιο όνομα χρήστη και γνωστό κωδικό πρόσβασης εκτυπώνει τα χαρακτηριστικά της απάντησης σε αναγνώσιμη μορφή, και αυτό λύνει το ζήτημα σε ένα βήμα.

radtest alice secret 10.0.0.10 0 testing123

Αν τα χαρακτηριστικά VLAN λείπουν από αυτή την απάντηση, διορθώστε πρώτα την αντιστοίχιση πολιτικής. Αν υπάρχουν, ο διακομιστής έκανε το μέρος του και το κενό βρίσκεται πιο κάτω.

Αποδείξτε πρώτα την πολιτική συνεδρίας, έπειτα την προσβασιμότητα

Τώρα δείτε τη συνεδρία που έστησε η πύλη. Η λίστα ενεργών συνεδριών δείχνει τη δεξαμενή, τη διεύθυνση που ανατέθηκε και οποιαδήποτε πολιτική ομάδας προσάρτησε η πύλη, και αυτή είναι η μόνη απόδειξη που μετράει για την επιβολή. Συγκρίνετε το με το τι μπορεί να προσεγγίσει ο χρήστης και όχι με το τι σκόπευε η πολιτική.

swanctl --list-sas

Έπειτα δοκιμάστε από τον πελάτη έναν επιτρεπόμενο και έναν απορριπτόμενο πόρο, επειδή μια διεύθυνση από τη σωστή δεξαμενή δεν αποδεικνύει απομόνωση. Αν η πύλη δεν έχει μηχανισμό για την ανάθεση που θέλετε, περισσότερα αντίγραφα του χαρακτηριστικού δεν θα δημιουργήσουν έναν. Μια διεύθυνση από την αναμενόμενη δεξαμενή μπορεί να συνυπάρχει με πλήρη πρόσβαση σε κάθε άλλη δεξαμενή. Επιλέξτε έναν υποστηριζόμενο μηχανισμό πολιτικής ή αλλάξτε σκόπιμα τον σχεδιασμό του δικτύου.