FortiGate-VPN surteriĝas en la malĝusta grupo: RADIUS-koincigo
Fortinet-Group-Name estas komparata kun la respondo, ne kun via loka grupa etikedo. Kontrolu la tri nomojn antaŭ ol vastigi la koincigon al Any.
La ensaluto sukcesas, la tunelo leviĝas, kaj la uzanto surteriĝas en la malĝusta politiko aŭ en neniu politiko. Nenio en la FortiGate-protokolo anoncas, ke mankis la grupo, ĉar de ĝia flanko la aŭtentigo funkciis kaj la grupa koincigo simple ne ekfunkciis. La ĉeno, kiun vi devas ekzameni, enhavas tri apartajn nomojn, kaj ili kutime ne estas la sama signoĉeno.
Tri nomoj kun tri taskoj
Notu ĉiujn tri antaŭ ol tuŝi ajnan agordon, ĉar du el ili loĝas en malsamaj sistemoj.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
La adresara grupo estas tio, kion taksas via RADIUS-politiko. La redonita atributo estas valoro ene de la Access-Accept-respondo. La loka FortiGate-grupo estas ujo, al kiu la politiko referencas laŭnome. Konfuzi ajnajn du el tiuj produktas ensaluton, kiu funkcias, kaj rajtigon, kiu ne funkcias.
Kie la koincigo efektive okazas
La klarigo de RADIUS-grupa koincigo de Fortinet nomas Fortinet-Group-Name kiel la defaŭltan grupan atributon. FortiGate komparas la agorditan malproksiman servilon kaj la valoron de la grupa nomo kun tio, kion portas la respondo, kio signifas, ke la komparo estas kontraŭ la redonita signoĉeno, ne kontraŭ la vidiga etikedo de via loka grupo.
Tial loka grupo nomata VPN-Engineering povas stari apud redonita valoro vpn-engineering kaj koincidi kun nenio ajn. Uskleco kaj literumo ne estas kosmetikaj en ĉi tiu komparo. Elektu unu signoĉenon, uzu ĝin en la respondo, kaj referencu la saman signoĉenon en la koinciga regulo de la enirejo.
En FortiAuthenticator la grupo devas esti asociita kun la atributo kaj inkluzivita en la koncerna RADIUS-servopolitiko, kun la regilo por redoni la grupan atributon ŝaltita kie aplikeble.
La respondo povas sukcesi sen la atributo
Por NPS aŭ alia RADIUS-servilo, devigu la kondiĉon de adresara grupo en la politiko kaj poste agordu la subtenatan respondan atributon. Sukcesa pasvorta kontrolo produktas Access-Accept memstare, kaj Access-Accept sen grupa signoĉeno estas tute valida respondo, kiu rajtigas nenion ĉe la FortiGate-flanko. Ĉi tio estas la plej ofta formo de la problemo.
Difini grupon ne samas kiel sendi ĝin. Tio estas du agordaj paŝoj sur du malsamaj ekranoj, kaj kutime nur unu el ili estas farata.
Kial koincigi kun Any estas kaptilo
Koincigo de malproksima grupo Any estas legitima dezajno, kiam la RADIUS-servilo jam akceptas ĝuste la loĝantaron, kiun vi volas. Elektu tiun delegadon konscie. Vastigi la koincigon por forigi mankan atributon akceptas ĉiun konton, kiun la RADIUS-servilo hazarde akceptas, inkluzive de tiuj, kiuj neniam estu havintaj VPN-aliron. La simptomo malaperas kaj la alirkontrolo silente ĉesas ekzisti.
Se vi ne povas nomi, kiun la RADIUS-servilo devus akcepti, vi ne pretas por Any-koincigo.
Konservu kvar rikordojn por subteno
Kiam ĝi ankoraŭ ne funkcias, kolektu kvar aferojn: la elektitan RADIUS-politikon, la fakto redonitan grupan atributon, la FortiGate-servilon kaj valoron kun kiuj ĝi estis komparata, kaj la rezultan lokan grupon. Tiuj kvar rikordoj lokalizas la rompon sen malkaŝi pasvortojn aŭ ŝanĝi grupan membrecon por vidi, kio okazas.
Testu unu rajtigitan kaj unu eksteran konton sub la reala regulo, kaj kontrolu la rezultan politikon kaj rimedaliron same kiel la aŭtentigan rezulton. Nur la paro diras al vi, ĉu la koincigo faras tion, kion vi pensas.