FortiGate-VPN bedarret yn 'e ferkearde groep: RADIUS-matching
Fortinet-Group-Name wurdt mei it antwurd ferlike, net mei jo lokale groepskaartsje. Gean de trije nammen nei foardat jo de matching nei Any ferbreedzje.
De oanmelding slagget, de tunnel komt omheech en de brûker bedarret op it ferkearde belied of op hielendal gjin belied. Neat yn it FortiGate-logboek kundiget oan dat de groep ûntbrekte, want fan syn kant wurke de autentikaasje en de groepsmatching baarnde gewoan net. De keatling dy't jo besjen moatte befettet trije aparte nammen, en dy binne meastentiids net deselde tekenrige.
Trije nammen mei trije taken
Skriuw alle trije op foardat jo hokker konfiguraasje dan ek oanreitsje, want twa fan har libje op ferskate systemen.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
De mapgroep is wat jo RADIUS-belied beöardielet. It weromstjoerde attribút is in wearde binnen it Access-Accept-antwurd. De lokale FortiGate-groep is in kontener dêr't it belied by namme nei ferwiist. Twa fan dizze trochinoar helje smyt in oanmelding op dy't wurket en in autorisaasje dy't net wurket.
Wêr't de matching eins dien wurdt
Fortinet syn útlis fan RADIUS-groepsmatching neamt Fortinet-Group-Name as it standertgroepsattribút. FortiGate ferliket de ynstelde fiere server en de groepsnamwearde mei wat it antwurd draacht, wat betsjut dat de ferliking tsjin 'e weromstjoerde tekenrige is, net tsjin 'e werjefte fan jo lokale groep.
Dêrom kin in lokale groep mei de namme VPN-Engineering njonken in weromstjoerde wearde vpn-engineering sitte en hielendal neat matche. Haadletters en stavering binne yn dizze ferliking gjin kosmetika. Kies ien tekenrige, brûk dy yn it antwurd en ferwize nei deselde tekenrige yn 'e matchingsregel fan 'e poarte.
Op FortiAuthenticator moat de groep oan it attribút keppele wurde en yn it byhearrende RADIUS-tsjinstbelied opnommen wurde, mei de bestriding foar it weromstjoeren fan it groepsattribút ynskeakele wêr't dat fan tapassing is.
It antwurd kin slagje sûnder it attribút
Foar NPS of in oare RADIUS-server: twing de betingst foar de mapgroep yn it belied ôf en konfigurearje dan it stipe antwurdattribút. In slagge wachtwurdkontrôle produsearret fansels in Access-Accept, en in Access-Accept sûnder groepsrige is in folslein jildich antwurd dat neat autorisearret oan 'e FortiGate-kant. Dit is de meast foarkommende foarm fan it probleem.
In groep definiearje is net itselde as him stjoere. Dat binne twa konfiguraasjestappen op twa ferskate skermen, en meastentiids wurdt mar ien fan beide dien.
Wêrom't matchen mei Any in falstrik is
In Any-matching fan fiere groepen is in legitime opbou as de RADIUS-server al krekt de populaasje talit dy't jo wolle. Kies dy delegaasje bewust. De matching ferbreedzje om in ûntbrekkend attribút ferdwine te litten lit elk akkount ta dat de RADIUS-server tafallich akseptearret, ek dy't nea VPN-tagong hawwe mochten. It symptoom ferdwynt en de tagongskontrôle hâldt stil op te bestean.
As jo net beneame kinne wa't de RADIUS-server talitte moat, binne jo net klear foar in Any-matching.
Hâld fjouwer records by foar stipe
As it noch net wurket, sammelje fjouwer dingen: it selektearre RADIUS-belied, it groepsattribút dat eins weromstjoerd is, de FortiGate-server en de wearde dêr't er mei ferlike is, en de resultearjende lokale groep. Dy fjouwer records lokalisearje de brek sûnder wachtwurden bleat te lizzen of groepsgearstalling te feroarjen om te sjen wat der bart.
Test ien autorisearre en ien akkount bûten it berik ûnder de echte regel, en kontrolearje it resultearjende belied en de tagong ta boarnen, likegoed as it autentikaasjerisseltaat. Allinnich it pear fertelt jo oft de matching docht wat jo tinke.