Miks RADIUS-e VLAN-vastus ei tee VPN-i kasutaja jaoks midagi

Lisate VLAN-i atribuudi NPS-i poliitikale, VPN-i kasutaja ühendub ja sülearvuti maandub ikka vaikimisi pooli. RADIUS-i server tagastab selle, mida küsisite, mistõttu tõrge näib vahemälu probleemina. Tavaliselt see ei ole. Access-Accept kannab autoriseerimise vihjeid ja ainult see võrgupääsu server, mis need sai, saab ühe neist võrgu määramiseks muuta.

Alustage lüüsist, mitte poliitikast

Läbige ahel klientidest sissepoole, enne kui midagi muudate. Klient küsib lüüsilt seanssi, lüüs küsib RADIUS-elt, kas kasutaja tohib selle saada, ja RADIUS vastab tulemuse ning atribuutide kogumiga. Seejärel rakendab lüüs seda, mida ta oskab rakendada.

Teie läbivaatus algab neljandast sammust, seepärast näivad kolm esimest terved. Miski vahetuses ei kohusta lüüsi rakendama atribuuti, mille ta sai. Vastus on palve lüüsile, mitte fakt kliendi kohta.

Mida kommutaator teeb ja VPN ei saa

802.1X juurdepääsukommutaator on portidega autentija ja dünaamiline VLAN-i määramine liigutab ühe nendest portidest VLAN-i, mida kommutaator juba kannab. RADIUS-e tunneliatribuudid kirjeldavad seda kavatsust kujul, millest kommutaator aru saab. Marsruuditud VPN lõpetab tunneleid, mitte kommutaatori porte, ja selle kliendid saavad tavaliselt aadressi ja marsruudi, mitte liikmelisust ringhäälingudomeenis. Porti, mida liigutada, pole, seega pole samal atribuudil millegi peal toimida.

See on mudeli erinevus, mitte tarnija viga. Mõned lüüsid lisavad oma rühmareegli, pooli valiku või filtreerimismehhanismi, mis ekraanipildil sarnane välja näeb. Teised ei rakenda sellest midagi ja atribuut logitakse ning jäetakse tähelepanuta. Lugege dokumentatsiooni selle kaugjuurdepääsu režiimi kohta, mille te tegelikult lubasite, mitte selle kohta, mis on ekraanipildil.

Lugege vastust, mille server tegelikult saatis

Kinnitage, mida RADIUS tagastas, mitte mida poliitikaredaktor näitab. Testpäring sama kasutajanime ja teadaoleva parooliga trükib vastuse atribuudid loetaval kujul, mis lahendab küsimuse ühe sammuga.

radtest alice secret 10.0.0.10 0 testing123

Kui VLAN-i atribuudid selles vastuses puuduvad, parandage esmalt poliitika vastavus. Kui need on olemas, on server oma osa teinud ja lünk on allavoolu.

Tõestage esmalt seansi poliitika, seejärel kättesaadavus

Nüüd vaadake seanssi, mille lüüs ehitas. Aktiivsete seansside loend näitab pooli, määratud aadressi ja kõiki rühmareegleid, mille lüüs lisas, ning see on ainus tõend, mis jõustamisel loeb. Võrrelge seda sellega, mida kasutaja jõuab, mitte sellega, mida poliitika kavatses.

swanctl --list-sas

Seejärel testige kliendist üht lubatud ja üht keelatud ressurssi, sest õige pooli aadress ei tõesta isolatsiooni. Kui lüüsil pole soovitud määramise jaoks mehhanismi, ei loo atribuudi rohkem koopiaid seda. Oodatava pooli aadress võib eksisteerida koos täieliku juurdepääsuga igale teisele poolile. Valige toetatud poliitikamehhanism või muutke võrgu disaini meelega.