La VPN de FortiGate cae en el grupo equivocado: coincidencia RADIUS
Fortinet-Group-Name se compara con la respuesta, no con la etiqueta local de su grupo. Revise los tres nombres antes de ampliar la coincidencia a Any.
El inicio de sesión se completa, el túnel se levanta y el usuario aterriza en la política equivocada o en ninguna política. Nada en el registro de FortiGate anuncia que faltaba el grupo, porque desde su lado la autenticación funcionó y la coincidencia del grupo simplemente no se activó. La cadena que hay que inspeccionar contiene tres nombres separados, y por lo general no son la misma cadena.
Tres nombres con tres funciones
Anote los tres antes de tocar cualquier configuración, porque dos de ellos viven en sistemas distintos.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
El grupo de directorio es lo que evalúa su política RADIUS. El atributo devuelto es un valor dentro de la respuesta Access-Accept. El grupo local de FortiGate es un contenedor al que la política hace referencia por nombre. Confundir dos cualesquiera de ellos produce un inicio de sesión que funciona y una autorización que no funciona.
Dónde se hace realmente la coincidencia
La explicación de la coincidencia de grupos RADIUS de Fortinet señala Fortinet-Group-Name como atributo de grupo predeterminado. FortiGate compara el servidor remoto configurado y el valor del nombre del grupo con lo que lleva la respuesta, lo que significa que la comparación se hace contra la cadena devuelta, no contra la etiqueta visible de su grupo local.
Por eso un grupo local llamado VPN-Engineering puede estar junto a un valor devuelto vpn-engineering y no coincidir con nada. Las mayúsculas y la ortografía no son cosméticas en esta comparación. Elija una cadena, úsela en la respuesta y haga referencia a la misma cadena en la regla de coincidencia de la puerta de enlace.
En FortiAuthenticator el grupo debe asociarse al atributo e incluirse en la política de servicio RADIUS correspondiente, con el control de retorno del atributo de grupo habilitado cuando corresponda.
La respuesta puede tener éxito sin el atributo
Para NPS u otro servidor RADIUS, aplique la condición de grupo de directorio en la política y luego configure el atributo de respuesta admitido. Una comprobación de contraseña correcta produce un Access-Accept por sí sola, y un Access-Accept sin cadena de grupo es una respuesta perfectamente válida que no autoriza nada en el lado de FortiGate. Esta es la forma más común del problema.
Definir un grupo no es lo mismo que enviarlo. Son dos pasos de configuración en dos pantallas distintas, y normalmente solo se hace uno de ellos.
Por qué coincidir con Any es una trampa
Una coincidencia de grupo remoto Any es un diseño legítimo cuando el servidor RADIUS ya admite exactamente la población que usted quiere. Elija esa delegación a propósito. Ampliar la coincidencia para que desaparezca un atributo faltante admite todas las cuentas que el servidor RADIUS acepte, incluidas las que nunca debieron tener acceso a la VPN. El síntoma desaparece y el control de acceso deja de existir en silencio.
Si no puede nombrar a quién debe admitir el servidor RADIUS, no está listo para una coincidencia Any.
Conserve cuatro registros para soporte
Cuando siga sin funcionar, reúna cuatro cosas: la política RADIUS seleccionada, el atributo de grupo realmente devuelto, el servidor FortiGate y el valor con el que se comparó, y el grupo local resultante. Esos cuatro registros localizan la rotura sin exponer contraseñas ni cambiar la pertenencia a grupos para ver qué pasa.
Pruebe una cuenta autorizada y otra fuera de alcance con la regla real, y compruebe la política y el acceso a recursos resultantes, además del resultado de la autenticación. Solo el par le dice si la coincidencia hace lo que usted cree.