Miksi RADIUS-VLAN-vastaus ei tee VPN-käyttäjän hyväksi mitään

Lisäät VLAN-attribuutin NPS-käytäntöön, VPN-käyttäjä yhdistää ja kannettava päätyy silti oletuspooliin. RADIUS-palvelin palauttaa sen, mitä pyysit, minkä vuoksi vika näyttää välimuistiongelmalta. Yleensä se ei ole. Access-Accept kuljettaa valtuutusvihjeitä, ja vain ne vastaanottanut verkkoliityntäpalvelin voi muuttaa yhden verkkokohdistukseksi.

Aloita yhdyskäytävästä, älä käytännöstä

Käy ketju läpi asiakkaasta sisäänpäin ennen kuin muutat mitään. Asiakas pyytää yhdyskäytävältä istuntoa, yhdyskäytävä kysyy RADIUSilta, saako käyttäjä sellaisen, ja RADIUS vastaa tuloksella ja attribuuttijoukolla. Sen jälkeen yhdyskäytävä soveltaa sen, minkä osaa soveltaa.

Läpikäyntisi alkaa neljännestä vaiheesta, siksi kolme ensimmäistä näyttävät terveiltä. Mikään vaihdossa ei velvoita yhdyskäytävää toteuttamaan vastaanottamaansa attribuuttia. Vastaus on pyyntö yhdyskäytävälle, ei asiakasta koskeva tosiasia.

Mitä kytkin tekee ja mitä VPN ei voi

802.1X-liityntäkytkin on portteja sisältävä todentaja, ja dynaaminen VLAN-kohdistus siirtää yhden niistä porteista VLANiin, jota kytkin jo kuljettaa. RADIUS-tunneliatribuutit kuvaavat tämän aikomuksen muodossa, jonka kytkin ymmärtää. Reititetty VPN päättää tunneleita, ei kytkinportteja, ja sen asiakkaat saavat yleensä osoitteen ja reitin eivätkä jäsenyyttä lähetysalueessa. Siirrettävää porttia ei ole, joten samalla attribuutilla ei ole mitään, mihin vaikuttaa.

Tämä on malliero, ei toimittajan virhe. Jotkin yhdyskäytävät lisäävät oman ryhmäkäytäntönsä, poolin valinnan tai suodatinmekanismin, joka näyttää kuvakaappauksessa samanlaiselta. Toiset eivät toteuta mitään siitä, ja attribuutti kirjataan ja jätetään huomiotta. Lue sen etäkäyttötilan dokumentaatio, jonka todella otit käyttöön, älä kuvakaappauksen tilan.

Lue vastaus, jonka palvelin todella lähetti

Vahvista, mitä RADIUS palautti, älä sitä, mitä käytäntöeditori näyttää. Testipyyntö samalla käyttäjänimellä ja tunnetulla salasanalla tulostaa vastauksen attribuutit luettavassa muodossa, ja se ratkaisee kysymyksen yhdellä askeleella.

radtest alice secret 10.0.0.10 0 testing123

Jos VLAN-attribuutit puuttuvat tästä vastauksesta, korjaa ensin käytännön vastaavuus. Jos ne ovat läsnä, palvelin on tehnyt osuutensa ja puute on alavirrassa.

Todista ensin istuntokäytäntö, sitten tavoitettavuus

Katso nyt istuntoa, jonka yhdyskäytävä rakensi. Aktiivisten istuntojen luettelo näyttää poolin, osoitetun osoitteen ja kaikki yhdyskäytävän liittämät ryhmäkäytännöt, ja se on ainoa todiste, jolla on merkitystä valvonnalle. Vertaa sitä siihen, mitä käyttäjä voi saavuttaa, älä siihen, mitä käytäntö tarkoitti.

swanctl --list-sas

Testaa sitten asiakkaasta yksi sallittu ja yksi estetty resurssi, koska oikean poolin osoite ei todista eristystä. Jos yhdyskäytävällä ei ole mekanismia haluamallesi kohdistukselle, useammat kopiot attribuutista eivät luo sellaista. Odotetun poolin osoite voi esiintyä yhdessä täyden pääsyn kanssa kaikkiin muihin pooleihin. Valitse tuettu käytäntömekanismi tai muuta verkkosuunnittelua tarkoituksella.