FortiGate-VPN päätyy väärään ryhmään: RADIUS-sovitus
Fortinet-Group-Name sovitetaan vastaukseen, ei paikalliseen ryhmätunnukseesi. Käy kolme nimeä läpi ennen kuin laajennat sovituksen Anyksi.
Kirjautuminen onnistuu, tunneli nousee ja käyttäjä päätyy väärään käytäntöön tai ei mihinkään käytäntöön. Mikään FortiGate-lokissa ei ilmoita, että ryhmä puuttui, koska sen puolelta todennus toimi eikä ryhmäsovitus yksinkertaisesti lauennut. Ketju, joka sinun on tutkittava, sisältää kolme erillistä nimeä, eivätkä ne yleensä ole sama merkkijono.
Kolme nimeä, kolme tehtävää
Kirjoita kaikki kolme muistiin ennen kuin kosket mihinkään asetukseen, koska kaksi niistä elää eri järjestelmissä.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Hakemistoryhmä on se, mitä RADIUS-käytäntösi arvioi. Palautettu attribuutti on arvo Access-Accept-vastauksen sisällä. FortiGate-paikallisryhmä on säilö, johon käytäntö viittaa nimeltä. Minkä tahansa kahden sekoittaminen tuottaa kirjautumisen, joka toimii, ja valtuutuksen, joka ei toimi.
Missä sovitus oikeasti tehdään
Fortinetin RADIUS-ryhmäsovituksen selitys nimeää Fortinet-Group-Name ryhmän oletusattribuutiksi. FortiGate vertaa määritettyä etäpalvelinta ja ryhmän nimen arvoa siihen, mitä vastaus kantaa, eli vertailu tehdään palautettua merkkijonoa vastaan, ei paikallisen ryhmäsi näyttönimeä vastaan.
Siksi paikallinen ryhmä nimeltä VPN-Engineering voi istua palautetun arvon vpn-engineering vieressä eikä sovittaa yhtään mitään. Isot ja pienet kirjaimet sekä oikeinkirjoitus eivät ole kosmetiikkaa tässä vertailussa. Valitse yksi merkkijono, käytä sitä vastauksessa ja viittaa samaan merkkijonoon yhdyskäytävän sovitussäännössä.
FortiAuthenticatorissa ryhmä on liitettävä attribuuttiin ja sisällytettävä vastaavaan RADIUS-palvelukäytäntöön, ja ryhmäattribuutin palautuksen ohjaus on otettava käyttöön siellä, missä se on sovellettavissa.
Vastaus voi onnistua ilman attribuuttia
Määritä NPS:lle tai muulle RADIUS-palvelimelle hakemistoryhmän ehto käytäntöön ja määritä sitten tuettu vastausattribuutti. Onnistunut salasanantarkistus tuottaa Access-Acceptin itsestään, ja Access-Accept ilman ryhmämerkkijonoa on täysin kelvollinen vastaus, joka ei valtuuta mitään FortiGate-puolella. Tämä on ongelman yleisin muoto.
Ryhmän määrittäminen ei ole sama kuin sen lähettäminen. Ne ovat kaksi asetusvaihetta kahdella eri näytöllä, ja yleensä vain toinen niistä tehdään.
Miksi sovitus Anyyn on ansa
Any-etäryhmäsovitus on perusteltu suunnittelu, kun RADIUS-palvelin hyväksyy jo täsmälleen haluamasi joukon. Valitse tämä delegointi tarkoituksella. Sovituksen laajentaminen puuttuvan attribuutin poistamiseksi hyväksyy jokaisen tilin, jonka RADIUS-palvelin sattuu hyväksymään, mukaan lukien ne, joille ei koskaan ollut tarkoitus antaa VPN-pääsyä. Oire katoaa ja pääsynvalvonta lakkaa hiljaa olemasta.
Jos et pysty nimeämään, kenet RADIUS-palvelimen pitäisi hyväksyä, et ole valmis Any-sovitukseen.
Säilytä neljä tietuetta tukea varten
Kun se ei vieläkään toimi, kerää neljä asiaa: valittu RADIUS-käytäntö, tosiasiallisesti palautettu ryhmäattribuutti, FortiGate-palvelin ja arvo, jota vastaan se sovitettiin, sekä tuloksena oleva paikallinen ryhmä. Nämä neljä tietuetta paikantavat katkoksen paljastamatta salasanoja tai muuttamatta ryhmäjäsenyyttä nähdäkseen, mitä tapahtuu.
Testaa yhtä valtuutettua ja yhtä laajuuden ulkopuolista tiliä todellisen säännön alla ja tarkista tuloksena oleva käytäntö ja resurssien käyttö sekä todennuksen tulos. Vain pari kertoo, tekeekö sovitus sen, mitä luulet.