Zergatik RADIUS VLAN erantzunak ez duen ezer egiten VPN erabiltzaile batentzat

Pasabideak, ez RADIUS politikak, erabakitzen du zer egiten duen VLAN atributuak. Jarraitu saio-katea eta irakurri zer itzuli zuen zerbitzariak benetan editatu aurretik.

VLAN atributua NPS politikari gehitzen diozu, VPN erabiltzailea konektatzen da, eta eramangarria defektuzko pool-era iristen da oraindik. RADIUS zerbitzariak eskatu duzuna itzultzen du, eta horrek hutsa cache arazo baten antza izatea eragiten du. Normalean ez da. Access-Accept batek baimen-iradokizunak daramatza, eta haiek jaso zituen sareko sarbide zerbitzariak soilik bihur dezake bat sare-esleipen.

Hasi pasabidean, ez politikan

Jarraitu katea bezerotik barrura ezer aldatu aurretik. Bezeroak pasabideari saio bat eskatzen dio, pasabideak RADIUSi galdetzen dio ea erabiltzaileak bat izan dezakeen, eta RADIUSek emaitza batekin eta atributu multzo batekin erantzuten du. Ondoren pasabideak badakien hura aplikatzen du.

Zure ibilbidea laugarren urratsean hasten da, eta horregatik lehen hirurak osasuntsu daude. Trukean ezerk ez du pasabidea jasotako atributu bat inplementatzera behartzen. Erantzuna pasabideari egindako eskaera da, ez bezeroari buruzko egia.

Switchak egiten duena eta VPNak ezin duena

802.1X sarbide switch bat autentifikatzailea da atakekin, eta VLAN esleipen dinamikoak ataka horietako bat switchak jada daraman VLAN batera eramaten du. RADIUS tunel atributuek asmo hori switchak ulertzen duen moduan deskribatzen dute. Bideratutako VPN batek tunelak amaitzen ditu, ez switch atakak, eta bere bezeroek normalean helbide bat eta ibilbide bat jasotzen dituzte difusio domeinu bateko kide izatearen ordez. Ez dago atakarik mugitzeko, beraz atributu berak ez du ezer gainean eragiteko.

Hau modelu-desberdintasuna da, ez saltzailearen akatsa. Pasabide batzuek beren talde-politika, pool hautaketa edo iragazte-mekanismoa gehitzen dute, pantaila-argazki batean antzeko itxura duena. Beste batzuek ez dute horietatik ezer inplementatzen, eta atributua erregistratu eta baztertu egiten da. Irakurri benetan gaitutako urruneko sarbide moduaren dokumentazioa, ez pantaila-argazkikoarena.

Irakurri zerbitzariak benetan bidalitako erantzuna

Egiaztatu RADIUSek zer itzuli zuen, ez politika-editoreak zer erakusten duen. Erabiltzaile-izen berarekin eta pasahitz ezagun batekin egindako proba-eskaera batek erantzun-atributuak modu irakurgarrian inprimatzen ditu, eta horrek galdera urrats bakarrean argitzen du.

radtest alice secret 10.0.0.10 0 testing123

Erantzun horretan VLAN atributuak falta badira, konpondu lehenik politikaren bat-etortzea. Han badaude, zerbitzariak bere zatia egin du eta hutsunea beherago dago.

Frogatu lehenik saio-politika, gero irisgarritasuna

Orain begiratu pasabideak eraikitako saioa. Saio aktiboen zerrendak pool-a, esleitutako helbidea eta pasabideak erantsitako edozein talde-politika erakusten ditu, eta hori da betearazpenerako axola duen froga bakarra. Alderatu erabiltzaileak zer lor dezakeen, ez politikak zer nahi zuen.

swanctl --list-sas

Gero probatu bezerotik baimendutako baliabide bat eta ukatutako beste bat, pool egokiko helbide batek ez baitu isolamendua frogatzen. Pasabideak nahi duzun esleipenerako mekanismorik ez badu, atributuaren kopia gehiagok ez dute bat sortuko. Espero den pool-eko helbide bat beste pool guztietarako sarbide osoarekin batera egon daiteke. Aukeratu onartutako politika-mekanismo bat edo aldatu sare-diseinua nahita.

Erlazionatutako artikuluak