In brûker oan in VPN-groep taheakje jout sels gjin tagong
Groepslidmaatskip is ien betingst, gjin tastimming. Sjoch wat de gateway echt matche, lês de aksept- of weigeringsrigel, en test beide útkomsten.
Jo hawwe it akkount yn de goede groep set, de oanmelding slagge, en de ferbining wurdt noch altyd wegere, of hy makket ferbining en berikt neat nuttichs. De gewoane reaksje is de brûker oan mear groepen taheakje oant eat jout, en sa jouwe organisaasjes folle mear as it ticket frege. Groepslidmaatskip is ien ynput foar it autorisaasjebeslút, nea it beslút sels: de gateway sammelt wat feiten oer de sesje, matcht dy tsjin oardere belied en beslút dan pas wat de sesje oanmeie mei. As in oare betingst mislearre, feroaret de groep neat behalve jo bleatstelling.
Groepslidmaatskip is in betingst, gjin tastimming
Yn RADIUS komt de groep as autorisaasjeattribút, en attributen beskriuwe de sesje ynstee fan har ta te stean. De tsjinner antwurdet mei Access-Accept of Access-Reject; by aksept kin er Filter-Id, Class of de tunnelattributen út RFC 2868 taheakje, en de netwurkapparatuer oan de oare kant ynterpretearret dy sa’t de fabrikant besletten hat. Neat yn it protokol mappt in groep nei folsleine tagong; dy mapping skriuwt wa’t it belied op de gateway of de netwurktagongstsjinner ynsteld hat.
Dêrom gedraacht in identike groepsnamme him oars op twa systemen. Microsoft NPS bout netwurkbelied út betingsten, beheiningen en ynstellings en evaluearret dy yn in fêste oarder. OpenVPN Access Server hat syn eigen model fan groepen en tagongsregels, wylst in mienskiplike OpenVPN-tsjinner de hiele fraach faak oerdraacht oan in client-connect-skript of in client-config-dir-bestân. Elk ferbrûkt in groep; gjinien dielt de prioriteitslogika fan de oare.
It regear dat matche, beslút, net de groep dy’t jo ferwachte
De measte motoren stopje by it earste belied dat matcht of by it meast spesifike. As belied 3 weigert en belied 7 tastiet, kin in sesje mislearje sûnder ea it regear te berikken dat har trochlitten hie. De oarder is in echte ynstelling op NPS en de measte netwurktagongskontrôleprodukten, en hy ferskoot oer de jierren.
De betingsten dy’t mei de groep geane binne de oare helte. Apparaatsteat, autentikaasjemetoede, foltôge MFA, boarnetwurk, sertifikaatûnderwerp of in tiidspanne kinne yn itselde belied stean. As ien dêrfan net foldien is, matcht it belied net, de motor falt troch en de standertweigering jildt.
Details fan it adresboek meitsje itselde yllúzje. In belied dat op Windows-groepslidmaatskip matcht, lêst de SIDs yn it token fan de brûker, en dêr wurde allinnich feiligensgroepen neamd, in distribúsjegroep ferskynt nea. De primêre groep wurdt yn syn eigen fjild droegen, net yn de list, sadat in belied dat dêroan fêst sit stil mislearje kin.
Lês de aksept- of weigeringsrigel foardat jo in groep oanmeie
Freegje earst ien ding: hat it fersyk de autorisaasjefaze berikt? Op NPS stiet it antwurd yn it barrenlog, dêr’t 6272 ferliende tagong, 6273 in weigering en 6274 in fersyk fêstleit dat de tsjinner foar de beliedsevaluaasje fuortgoaide. Dy trije nûmers partsje it probleem yn trije ferskillende ûndersiken, en mar ien giet oer groepen.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
As it log net berikber is, freegje de tsjinner direkt en lês wat er weromjout. In antwurd sûnder Filter-Id en sûnder tunnelattributen seit dat de tsjinner de sesje gewoan fynt en de gateway eigen regels tapast. In antwurd mei attributen dy’t it hanthaveningspunt net ymplementearret is in oare fout: de autorisaasje slagge en it apparaat negearre it resultaat.
radtest alice 'password' 10.0.0.5 0 testing123Fergelykje de weromjûne attributen mei dy’t de gateway dokumintearret, net mei wat de groepsnamme suggerearret. Dy fergeliking skiedet meastentiids in beliedsprobleem fan in hanthaveningsprobleem.
In groepsferoaring wurket net weromwurkjend
Autorisaasjeattributen wurde ien kear weromjûn, by de autentikaasje fan de sesje. De gateway bewarret se op de sesje en lêst it adresboek net opnij foar elk pakket, dêrom wurket in festige sesje troch nei’t jo immen út in groep helle hawwe, en in nije kin mislearje.
Om de feroaring wurkje te litten is in nij autorisaasjebeslút nedich, net allinnich frisse kaai. Dêr’t de tsjinner RFC 5176 dynamyske autorisaasje stipet, twingt in Disconnect-Request of CoA-Request nei UDP 3799 de sesje ta opnij evaluaasje; oars ferbrek de kliïnt en lit him wer ferbine. Werûnderhanneling fernijt de tunnelkaaien en lit it autorisaasjeriseltaat gewoanwei ûnferoare.
Reparearje de betingst, net de groep
As jo witte hokker belied tawiisde, is de reparaasje meast lyts: oarderje in weigering opnij dy’t de bedoelde tastimming oerskadelet, heakje de ûntbrekkende apparaat- of MFA-betingst ta oan it belied dat jo bedoelden, of skriuw in smelle regel foar it iene middel ynstee fan de brûker yn in groep te heffen dy’t tsien oaren draacht.
In koarte lus hâldt de feroaring earlik:
- Reprodusearje de weigering mei it orizjinele akkount en skriuw de barren-ID op foardat jo eat feroarje.
- Feroarje ien objekt, beliedoerder, ien betingst of ien groep, en notearje hokker.
- Iepenje in nije sesje, befêstigje dat de tastimming yn it log ferskynt en it middel echt iepengiet.
- Test in brûker dy’t noch wegere wurde moat, sadat de reparaasje it belied net by ûngelok ferbrede.
As de tastimming krekt is en it middel net iepengiet, is it probleem nei routing of namme-oplossing ferhuze op it stuit dat de autorisaasje slagge. Hâld dy twa flaters skieden en it folgjende ticket kostet minuten, gjin middei.