Kial RADIUS-VLAN-respondo faras nenion por VPN-uzanto

Vi aldonas la VLAN-atributon al la NPS-politiko, la VPN-uzanto konektiĝas, kaj la tekkomputilo ankoraŭ finiĝas en la defaŭlta akvujo. La RADIUS-servilo redonas tion, kion vi petis, pro kio la fiasko aspektas kiel kaŝmemora problemo. Kutime ĝi ne estas. Access-Accept portas rajtigajn aludojn, kaj nur la ret-alira servilo, kiu ilin ricevis, povas transformi unu en retan asignon.

Komencu ĉe la enkursigilo, ne ĉe la politiko

Trapasu la ĉenon de la kliento enen antaŭ ol ŝanĝi ion ajn. La kliento petas seancon de la enkursigilo, la enkursigilo demandas RADIUS ĉu la uzanto rajtas havi unu, kaj RADIUS respondas per rezulto kaj aro de atributoj. Poste la enkursigilo aplikas tion, kion ĝi scias apliki.

Via trairado komenciĝas ĉe la kvara paŝo, kaj tial la unuaj tri aspektas sanaj. Nenio en la interŝanĝo devigas la enkursigilon efektivigi atributon, kiun ĝi ricevis. La respondo estas peto al la enkursigilo, ne fakto pri la kliento.

Kion faras la ŝaltilo, kion VPN ne povas

802.1X-alirapreta ŝaltilo estas aŭtentigilo kun havenoj, kaj dinamika VLAN-asigno movas unu el tiuj havenoj en VLAN-on, kiun la ŝaltilo jam portas. La RADIUS-tunelaj atributoj priskribas tiun intencon en formo, kiun la ŝaltilo komprenas. Enkursigita VPN finas tunelojn, ne ŝaltilajn havenojn, kaj ĝiaj klientoj kutime ricevas adreson kaj itineron anstataŭ membrecon en dissenda domajno. Ne estas haveno por movi, do la sama atributo havas nenion, sur kion agi.

Tio estas modelo-diferenco, ne vendista cimo. Iuj enkursigiloj aldonas propran grupan politikon, akvujan elekton aŭ filtran mekanismon, kiu en ekrankopio aspektas simila. Aliaj efektivigas nenion el tio, kaj la atributo estas protokolata kaj ignorata. Legu la dokumentaron por la malproksima alira reĝimo, kiun vi efektive ebligis, ne por tiu en la ekrankopio.

Legu la respondon, kiun la servilo efektive sendis

Konfirmu kion RADIUS redonis anstataŭ kion montras la politika redaktilo. Testa peto kun la sama uzantnomo kaj konata pasvorto presas la respondajn atributojn en legebla formo, kaj tio solvas la demandon en unu paŝo.

radtest alice secret 10.0.0.10 0 testing123

Se la VLAN-atributoj mankas en tiu respondo, unue riparu la politikan kongruon. Se ili ĉeestas, la servilo faris sian parton, kaj la manko estas pli malsupre.

Pruvu unue la seancan politikon, poste la atingeblon

Nun rigardu la seancon, kiun la enkursigilo konstruis. La listo de aktivaj seancoj montras la akvujon, la asignitan adreson kaj ajnan grupan politikon, kiun la enkursigilo aldonis, kaj tio estas la sola pruvo, kiu gravas por plenumado. Komparu tion kun tio, kion la uzanto povas atingi, ne kun tio, kion la politiko intencis.

swanctl --list-sas

Poste testu de la kliento unu permesitan kaj unu rifuzitan rimedon, ĉar adreso el la ĝusta akvujo ne pruvas izolon. Se la enkursigilo havas neniun mekanismon por la asigno, kiun vi volas, pli da kopioj de la atributo ne kreos unu. Adreso el la atendata akvujo povas ekzisti kune kun plena aliro al ĉiu alia akvujo. Elektu subtenatan politikan mekanismon aŭ intence ŝanĝu la retan dezajnon.