VPN فورتی‌گیت در گروه اشتباه فرود می‌آید: تطبیق RADIUS
Fortinet-Group-Name با پاسخ تطبیق داده می‌شود، نه با برچسب گروه محلی شما. پیش از گسترش تطبیق به Any، سه نام را بررسی کنید.
ورود موفق می‌شود، تونل بالا می‌آید و کاربر در خط‌مشی اشتباه یا در هیچ خط‌مشی‌ای فرود می‌آید. هیچ چیز در گزارش فورتی‌گیت اعلام نمی‌کند که گروه نبوده است، چون از سمت آن احراز هویت کار کرده و تطبیق گروه به‌سادگی اجرا نشده است. زنجیره‌ای که باید بررسی کنید سه نام جداگانه دارد و معمولاً یک رشته نیستند.
سه نام با سه وظیفه
پیش از دست زدن به هر پیکربندی، هر سه را بنویسید، چون دو تای آن‌ها در سیستم‌های متفاوتی زندگی می‌کنند.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
گروه دایرکتوری چیزی است که خط‌مشی RADIUS شما ارزیابی می‌کند. ویژگی برگشتی مقداری درون پاسخ Access-Accept است. گروه محلی فورتی‌گیت ظرفی است که خط‌مشی با نام به آن ارجاع می‌دهد. اشتباه گرفتن هر دو مورد از این‌ها ورودی می‌سازد که کار می‌کند و مجوزی که کار نمی‌کند.
تطبیق در واقع کجا انجام می‌شود
توضیح تطبیق گروه‌های RADIUS از فورتی‌نت Fortinet-Group-Name را به‌عنوان ویژگی پیش‌فرض گروه معرفی می‌کند. فورتی‌گیت سرور راه دور پیکربندی‌شده و مقدار نام گروه را با آنچه پاسخ حمل می‌کند مقایسه می‌کند، یعنی مقایسه با رشته برگشتی است، نه با برچسب نمایشی گروه محلی شما.
به همین دلیل یک گروه محلی به نام VPN-Engineering می‌تواند کنار مقدار برگشتی vpn-engineering بنشیند و هیچ چیز را تطبیق ندهد. حروف بزرگ و کوچک و املا در این مقایسه تزئینی نیستند. یک رشته انتخاب کنید، آن را در پاسخ به کار ببرید و در قاعده تطبیق دروازه به همان رشته ارجاع دهید.
در FortiAuthenticator گروه باید به ویژگی پیوند داده شود و در خط‌مشی سرویس RADIUS مربوط گنجانده شود، با کنترل بازگرداندن ویژگی گروه در مواردی که کاربرد دارد فعال باشد.
پاسخ می‌تواند بدون ویژگی هم موفق شود
برای NPS یا سرور RADIUS دیگر، شرط گروه دایرکتوری را در خط‌مشی اعمال کنید و سپس ویژگی پاسخ پشتیبانی‌شده را پیکربندی کنید. بررسی موفق گذرواژه به‌تنهایی یک Access-Accept تولید می‌کند و Access-Accept بدون رشته گروه پاسخی کاملاً معتبر است که در سمت فورتی‌گیت هیچ چیز را مجاز نمی‌کند. این رایج‌ترین شکل مشکل است.
تعریف یک گروه با ارسال آن یکی نیست. این‌ها دو گام پیکربندی در دو صفحه متفاوت‌اند و معمولاً فقط یکی از آن‌ها انجام می‌شود.
چرا تطبیق با Any تله است
تطبیق گروه راه دور Any طراحی موجهی است وقتی سرور RADIUS از پیش دقیقاً همان جامعه‌ای را می‌پذیرد که می‌خواهید. این تفویض را آگاهانه انتخاب کنید. گسترش تطبیق برای از میان بردن یک ویژگی غایب هر حسابی را می‌پذیرد که سرور RADIUS اتفاقاً می‌پذیرد، از جمله حساب‌هایی که هرگز قرار نبوده دسترسی VPN داشته باشند. نشانه از بین می‌رود و کنترل دسترسی بی‌صدا از وجود بازمی‌ایستد.
اگر نمی‌توانید نام ببرید که سرور RADIUS باید چه کسی را بپذیرد، برای تطبیق Any آماده نیستید.
برای پشتیبانی چهار سابقه نگه دارید
وقتی هنوز کار نمی‌کند، چهار چیز جمع کنید: خط‌مشی RADIUS انتخاب‌شده، ویژگی گروهی که واقعاً برگشته، سرور فورتی‌گیت و مقداری که با آن تطبیق داده شده، و گروه محلی حاصل. این چهار سابقه محل شکست را بدون افشای گذرواژه یا تغییر عضویت گروهی برای دیدن آنچه رخ می‌دهد پیدا می‌کنند.
یک حساب مجاز و یک حساب خارج از محدوده را زیر قاعده واقعی آزمایش کنید و خط‌مشی و دسترسی به منابع حاصل و همچنین نتیجه احراز هویت را بررسی کنید. فقط این جفت به شما می‌گوید که تطبیق همان کاری را می‌کند که فکر می‌کنید.