FortiGate VPN talde okerrean lurreratzen da: RADIUS parekatzea
Fortinet-Group-Name erantzunarekin alderatzen da, ez zure talde-etiketa lokalarekin. Berrikusi hiru izenak parekatzea Any-ra zabaldu aurretik.
Saioa ondo hasten da, tunela altxatzen da, eta erabiltzailea politika okerrean edo inongo politikan gabe lurreratzen da. FortiGate erregistroan ezerk ez du jakinarazten taldea falta zela, bere aldetik autentifikazioa funtzionatu baitzuen eta talde-parekatzea ez baitzen abiarazi. Aztertu behar duzun kateak hiru izen bereizi ditu, eta normalean ez dira kate bera.
Hiru izen, hiru zeregin
Idatzi hirurak edozein konfiguraziorekin ukitu aurretik, horietako bi sistema desberdinetan bizi baitira.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Direktorio-taldea da zure RADIUS politikak ebaluatzen duena. Itzulitako atributua Access-Accept erantzunaren barruko balio bat da. FortiGate talde lokala politikak izenez aipatzen duen edukiontzia da. Horietako edozein bi nahasteak funtzionatzen duen saio-hasiera eta funtzionatzen ez duen baimena sortzen ditu.
Non egiten da parekatzea benetan
Fortineten RADIUS taldeen parekatzearen azalpena dokumentuak Fortinet-Group-Name lehenetsitako talde-atributu gisa adierazten du. FortiGate konfiguratutako urruneko zerbitzaria eta talde-izenaren balioa erantzunak dakarrenarekin alderatzen ditu, hau da, alderaketa itzulitako katearen aurka egiten da, ez zure talde lokalaren erakusteko etiketaren aurka.
Horregatik VPN-Engineering izeneko talde lokal bat vpn-engineering itzulitako balio baten ondoan egon daiteke eta ezer ez parekatu. Maiuskulak eta ortografia ez dira kosmetikoak alderaketa honetan. Aukeratu kate bat, erabili erantzunean, eta aipatu kate bera atebidearen parekatze-arauan.
FortiAuthenticator-en taldea atributuarekin lotu behar da eta dagokion RADIUS zerbitzu-politikan sartu behar da, talde-atributua itzultzeko kontrola gaituta dagoenean aplikagarria denean.
Erantzunak atributurik gabe ere arrakasta dezake
NPS edo beste RADIUS zerbitzari baterako, ezarri direktorio-taldearen baldintza politikan eta gero konfiguratu onartutako erantzun-atributua. Pasahitz-egiaztapen arrakastatsu batek Access-Accept bat sortzen du berez, eta talde-katerik gabeko Access-Accept bat erantzun erabat baliozkoa da, eta ez du ezer baimetzen FortiGate aldean. Hauxe da arazoaren ohikoena den forma.
Talde bat definitzea ez da hura bidaltzearen berdina. Bi konfigurazio urrats dira bi pantaila desberdinetan, eta normalean horietako bat baino ez da egiten.
Zergatik den Any-rekin parekatzea tranpa bat
Any urruneko taldearen parekatzea diseinu legitimoa da RADIUS zerbitzariak dagoeneko nahi duzun populazioa zehazki onartzen duenean. Aukeratu delegazio hori nahita. Parekatzea zabaltzeak atributu bat falta dela desagerrarazteko RADIUS zerbitzariak onartzen duen edozein kontu onartzen du, inoiz VPN sarbidea izateko asmorik ez zutenak barne. Sintoma desagertzen da eta sarbide-kontrola isilpean uzten du existitzen.
RADIUS zerbitzariak nor onartu behar duen izendatu ezin baduzu, ez zaude Any parekatze baterako prest.
Gorde lau erregistro euskarrirako
Oraindik funtzionatzen ez duenean, bildu lau gauza: hautatutako RADIUS politika, benetan itzulitako talde-atributua, FortiGate zerbitzaria eta harekin alderatu zen balioa, eta ondoriozko talde lokala. Lau erregistro horiek hausturaren kokapena aurkitzen dute pasahitzak agerian utzi gabe edo talde-kidetasuna aldatu gabe zer gertatzen den ikusteko.
Probatu kontu baimendu bat eta esparrutik kanpoko beste bat benetako arauaren pean, eta egiaztatu ondoriozko politika eta baliabideetarako sarbidea, baita autentifikazioaren emaitza ere. Bikoteak soilik esaten dizu parekatzeak zuk uste duzuna egiten duen ala ez.