Engadir un usuario a un grupo VPN non concede acceso por si só
A pertenza a un grupo é unha condición, non un permiso. Mire que emparellou realmente a pasarela, lea o rexistro de aceptación ou denegación e probe ambos os resultados.
Puxo a conta no grupo correcto, o inicio de sesión funcionou e a conexión segue a ser rexeitada, ou conéctase e non chega a nada útil. O reflexo habitual é engadir o usuario a máis grupos ata que algo ceda, e así as organizacións conceden moito máis do que pedía o ticket. A pertenza a un grupo é unha entrada na decisión de autorización, nunca a decisión mesma: a pasarela reúne uns cantos feitos sobre a sesión, emparélllaos cunha política ordenada e só entón decide a que pode tocar a sesión. Se fallou outra condición, cambiar o grupo non cambia nada agás a súa exposición.
A pertenza a un grupo é unha condición, non un permiso
En RADIUS o grupo chega como atributo de autorización, e os atributos describen a sesión en lugar de concedela. O servidor responde con Access-Accept ou Access-Reject; ao aceptar pode engadir Filter-Id, Class ou os atributos de túnel de RFC 2868, e o equipo de rede do outro extremo interprétaos como decida o fabricante. Nada no protocolo asigna un grupo ao acceso completo; esa asignación escríbea quen configurou a política na pasarela ou no servidor de acceso á rede.
Por iso un mesmo nome de grupo compórtase distinto en dous sistemas. Microsoft NPS compón políticas de rede a partir de condicións, restricións e axustes e avalíaas nunha orde definida. OpenVPN Access Server ten o seu propio modelo de grupos e regras de acceso, mentres que un servidor OpenVPN comunitario adoita delegar todo o asunto nun script client-connect ou nun ficheiro client-config-dir. Cada un consume un grupo; ningún comparte a lóxica de precedencia do outro.
Decide a regra que coincidiu, non o grupo que esperaba
A maioría dos motores detéñense na primeira política que coincide ou na máis específica. Se a política 3 denega e a política 7 permite, a sesión pode fallar sen chegar nunca á regra que a deixaría pasar. A orde é un axuste real en NPS e na maioría dos produtos de control de acceso á rede, e desprázase cos anos.
As condicións que viaxan co grupo son a outra metade. A postura do dispositivo, o método de autenticación, o MFA completado, a rede de orixe, o suxeito do certificado ou unha xanela horaria poden estar na mesma política. Cando unha non se cumpre, a política non coincide, o motor cae e aplícase a denegación por defecto. Desde o asento do usuario parece que se ignora o grupo; desde o asento do motor nunca se consultou o grupo.
Os detalles do directorio producen a mesma ilusión. Unha política que emparellou por pertenza a grupos de Windows le os SID do token do usuario, e alí só se enumeran grupos de seguridade, un grupo de distribución nunca aparece. O grupo primario lévase no seu propio campo e non na lista enumerada, así que unha política ancorada a el pode fallar en silencio.
Lea o rexistro de aceptación ou denegación antes de tocar un grupo
Pregunte primeiro unha cousa: chegou a petición á fase de autorización? En NPS a resposta está no rexistro de eventos, onde 6272 rexistra acceso concedido, 6273 unha denegación e 6274 unha petición que o servidor descartou antes de avaliar a política. Eses tres números dividen o problema en tres investigacións distintas, e só unha trata de grupos.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Cando o rexistro non está ao alcance, pregunte ao servidor directamente e lea o que devolve. Unha resposta sen Filter-Id e sen atributos de túnel di que o servidor considera a sesión corrente e que a pasarela aplica regras propias. Unha resposta con atributos que o punto de aplicación non implementa é outro fallo: a autorización pasou e o dispositivo ignorou o resultado.
radtest alice 'password' 10.0.0.5 0 testing123Compare os atributos devoltos cos que documenta a pasarela, non co que suxire o nome do grupo. Esa comparación adoita separar un problema de política dun problema de aplicación.
Un cambio de grupo non é retroactivo
Os atributos de autorización devólvense unha vez, cando se autentica a sesión. A pasarela gárdaos na sesión e non rele o directorio para cada paquete, por iso unha sesión establecida segue funcionando despois de sacar a alguén dun grupo, e unha nova pode fallar mentres a vella segue viva.
Para que o cambio surta efecto fai falta unha nova decisión de autorización, non só claves novas. Onde o servidor admite autorización dinámica RFC 5176, un Disconnect-Request ou CoA-Request a UDP 3799 forza a reavaliación da sesión; se non, desconecte o cliente e déixeo reconectar. A renegociación refresca as claves do túnel e normalmente deixa intacto o resultado de autorización.
Arranxe a condición, non o grupo
Cando sabe que política saltou, a reparación adoita ser pequena: reordene unha denegación que eclipsa o permiso buscado, engada a condición de dispositivo ou MFA que falta á política que quería emparellar, ou escriba unha regra estreita para ese recurso en lugar de promover o usuario a un grupo que leva outros dez.
Un bucle curto mantén o cambio honesto:
- Reproduza a denegación coa conta orixinal e anote o ID de evento antes de cambiar nada.
- Cambie un só obxecto, a orde de políticas, unha condición ou un grupo, e rexistre cal.
- Abra unha sesión nova, confirme que a concesión aparece no rexistro e que o recurso se abre de verdade.
- Probe un usuario que aínda debe ser rexeitado, para que o arranxo non ampliase a política por accidente.
Se a concesión é correcta e o recurso non se abre, o problema mudou a encamiñamento ou resolución de nomes no momento en que a autorización pasou. Manteña as dúas fallas separadas e o próximo ticket custará minutos, non unha tarde.