FortiGate VPN maandub vales grupis: RADIUS-i vastendamine
Fortinet-Group-Name vastendatakse vastusega, mitte teie kohaliku grupimärgisega. Kontrollige kolme nime enne, kui laiendate vastendust Any-le.
Sisselogimine õnnestub, tunnel tõuseb ja kasutaja maandub vale poliitika või üldse mitte mingi poliitika peale. Miski FortiGate'i logis ei teata, et grupp puudus, sest tema poolelt autentimine toimis ja grupivastendus lihtsalt ei käivitunud. Ahel, mida peate uurima, sisaldab kolme eraldi nime ja tavaliselt ei ole need sama string.
Kolm nime, kolm ülesannet
Kirjutage kõik kolm üles enne, kui puudutate ükskõik millist konfiguratsiooni, sest kaks neist elavad erinevates süsteemides.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Kataloogigrupp on see, mida teie RADIUS-poliitika hindab. Tagastatud atribuut on väärtus Access-Accept vastuse sees. FortiGate'i kohalik grupp on konteiner, millele poliitika nimega viitab. Kahe neist segamini ajamine annab sisselogimise, mis töötab, ja autoriseerimise, mis ei tööta.
Kus vastendamine tegelikult toimub
Fortineti RADIUS-i gruppide vastendamise selgitus nimetab Fortinet-Group-Name grupiatribuudi vaikeväärtuseks. FortiGate võrdleb konfiguratsioonis määratud kaugserverit ja grupiniime väärtust sellega, mida vastus kannab, mis tähendab, et võrdlus käib tagastatud stringi, mitte teie kohaliku grupi kuvatava märgise vastu.
Seetõttu võib kohalik grupp nimega VPN-Engineering seista tagastatud väärtuse vpn-engineering kõrval ega vastenda üldse mitte midagi. Suurtähed ja kirjaviis ei ole selles võrdluses kosmeetika. Valige üks string, kasutage seda vastuses ja viidake samale stringile lüüsi vastendusreeglis.
FortiAuthenticatoris tuleb grupp atribuudiga siduda ja lisada vastavasse RADIUS-i teenusepoliitikasse, kus asjakohane, grupiatribuudi tagastamise juhtimine lubatud.
Vastus võib õnnestuda ka ilma atribuudita
NPS-i või muu RADIUS-serveri puhul rakendage poliitikas kataloogigrupi tingimust ja seejärel konfigureerige toetatud vastuseatribuut. Edukas paroolikontroll tekitab iseenesest Access-Accept vastuse ja Access-Accept ilma grupistringita on täiesti kehtiv vastus, mis ei autoriseeri FortiGate'i poolel mitte midagi. See on probleemi kõige tavalisem kuju.
Grupi defineerimine ei ole sama, mis selle saatmine. Need on kaks konfiguratsioonietappi kahel erineval ekraanil ja tavaliselt tehakse neist ainult üks.
Miks Any-ga vastendamine on lõks
Any kauggrupi vastendamine on õigustatud disain, kui RADIUS-server juba lubab täpselt seda populatsiooni, mida soovite. Valige see delegeerimine teadlikult. Vastenduse laiendamine puuduva atribuudi kadumiseks lubab iga konto, mille RADIUS-server juhtumisi vastu võtab, sealhulgas need, kellele ei olnud kunagi VPN-i juurdepääsu ette nähtud. Sümptom kaob ja juurdepääsukontroll lakkab vaikselt olemast.
Kui te ei suuda nimetada, keda RADIUS-server peaks lubama, ei ole te Any-vastenduseks valmis.
Hoidke toe jaoks nelja kirjet
Kui see ikka ei tööta, koguge neli asja: valitud RADIUS-poliitika, tegelikult tagastatud grupiatribuut, FortiGate'i server ja väärtus, millega seda võrreldi, ning tulemuseks saadud kohalik grupp. Need neli kirjet lokaliseerivad katkestuse ilma paroole paljastamata või grupiliikmelisust muutmata, et näha, mis juhtub.
Testige üht autoriseeritud ja üht ulatusest väljapoole jäävat kontot tegeliku reegli all ning kontrollige tulemuseks saadud poliitikat ja ressurssidele juurdepääsu ning ka autentimise tulemust. Ainult see paar ütleb, kas vastendamine teeb seda, mida te arvate.