Wêrom in RADIUS-VLAN-antwurd neat docht foar in VPN-brûker

Do heakset it VLAN-attribút ta oan it NPS-belied, de VPN-brûker ferbynt, en de laptop bedarret noch altyd yn ’e standertpool. De RADIUS-tsjinner jout werom wat do frege hast, wat de flater op in cacheprobleem lykje lit. Meastentiids is dat net sa. In Access-Accept draacht autorisaasje-oanwizings, en allinnich de netwurk tagongs-tsjinner dy’t se krige hat, kin ien ombûge ta in netwurktawizing.

Begjin by de gateway, net by it belied

Rin de keatling fan de klant nei binnen foardatsto wat feroarest. De klant freget de gateway om in sesje, de gateway freget RADIUS oft de brûker ien hawwe mei, en RADIUS antwurdet mei in resultaat en in set attributen. Dêrnei past de gateway ta wat er wit hoe’t er it tapasse moat.

Dyn trochrin begjint by stap fjouwer, en dêrom lykje de earste trije sûn. Neat yn ’e útwikseling ferplichtet de gateway om in attribút te ymplementearjen dat er krigen hat. It antwurd is in fersyk oan de gateway, gjin feit oer de klant.

Wat de skeakel docht dat de VPN net kin

In 802.1X-tagongsskeakel is in autentisearrer mei poarten, en dynamyske VLAN-tawizing ferpleatst ien fan dy poarten nei in VLAN dy’t de skeakel al draacht. De RADIUS-tunneleigenskippen beskriuwe dat foarnimmen yn in foarm dy’t de skeakel begrypt. In rûtele VPN beëiniget tunnels, net skeakelpoarten, en syn klanten krije meastentiids in adres en in rûte ynstee fan lidmaatskip fan in útstjoerdomein. Der is gjin poarte om te ferpleatsen, dus itselde attribút hat neat om op te wurkjen.

Dit is in modelferskil, gjin leveransiersflater. Guon gateways heakje har eigen groepsbelied, poolseleksje of filtermeganisme ta dat op in skermôfbylding itselde liket. Oaren ymplementearje dêr neat fan, en it attribút wurdt logd en negearre. Lês de dokumintaasje foar de ôfstânstagongsmodus dy’tsto wirklik ynskeakele hast, net dy op ’e skermôfbylding.

Lês it antwurd dat de tsjinner wirklik stjoerd hat

Befêstigje wat RADIUS weromjoech ynstee fan wat de beliedsbewurker toant. In testfersyk mei deselde brûkersnamme en in bekend wachtwurd printsje de antwurdattributen yn lêsbere foarm, wat de fraach yn ien stap besljochtet.

radtest alice secret 10.0.0.10 0 testing123

As de VLAN-attributen yn dat antwurd ûntbrekke, reparearje dan earst de beliedsoerienkomst. As se oanwêzich binne, hat de tsjinner syn part dien en leit de leechte streamôf.

Bewiis earst it sesjebelied, dan de berikberens

Besjoch no de sesje dy’t de gateway boud hat. De list mei aktive sesjes toant de pool, it tawiisde adres en alle groepsbelied dat de gateway taheakke hat, en dat is it iennichste bewiis dat foar hanthavening ta docht. Ferlykje dat mei wat de brûker berikke kin, net mei wat it belied fan doel hie.

swanctl --list-sas

Test dan fanôf de klant ien tastien en ien wegere boarne, want in adres út ’e juste pool bewiist gjin isolaasje. As de gateway gjin meganisme hat foar de tawizing dy’tsto wolst, meitsje mear kopyen fan it attribút der gjin ien. In adres út ’e ferwachte pool kin bestean njonken folsleine tagong ta elke oare pool. Kies in stipe beliedsmeganisme of feroarje it netwurkûntwerp mei opsetsin.