A VPN de FortiGate cae no grupo equivocado: coincidencia RADIUS
Fortinet-Group-Name compárase coa resposta, non coa etiqueta local do seu grupo. Revise os tres nomes antes de ampliar a coincidencia a Any.
O inicio de sesión ten éxito, o túnel levanta e o usuario cae na política equivocada ou en ningunha política. Nada no rexistro de FortiGate anuncia que faltaba o grupo, porque desde o seu lado a autenticación funcionou e a coincidencia do grupo simplemente non se activou. A cadea que hai que inspeccionar contén tres nomes separados, e normalmente non son a mesma cadea.
Tres nomes con tres funcións
Anote os tres antes de tocar calquera configuración, porque dous deles viven en sistemas distintos.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
O grupo de directorio é o que avalía a súa política RADIUS. O atributo devolto é un valor dentro da resposta Access-Accept. O grupo local de FortiGate é un contedor ao que a política fai referencia polo nome. Confundir dous calquera deles produce un inicio de sesión que funciona e unha autorización que non funciona.
Onde se fai realmente a coincidencia
A explicación da coincidencia de grupos RADIUS de Fortinet sinala Fortinet-Group-Name como atributo de grupo predeterminado. FortiGate compara o servidor remoto configurado e o valor do nome do grupo co que leva a resposta, o que significa que a comparación se fai contra a cadea devolta, non contra a etiqueta visible do seu grupo local.
Por iso un grupo local chamado VPN-Engineering pode estar xunto a un valor devolto vpn-engineering e non coincidir con nada. As maiúsculas e a ortografía non son cosméticas nesta comparación. Escolla unha cadea, úsea na resposta e faga referencia á mesma cadea na regra de coincidencia da pasarela.
En FortiAuthenticator o grupo debe asociarse ao atributo e incluírse na política de servizo RADIUS correspondente, co control de retorno do atributo de grupo habilitado cando corresponda.
A resposta pode ter éxito sen o atributo
Para NPS ou outro servidor RADIUS, aplique a condición de grupo de directorio na política e despois configure o atributo de resposta admitido. Unha comprobación de contrasinal correcta produce un Access-Accept por si soa, e un Access-Accept sen cadea de grupo é unha resposta perfectamente válida que non autoriza nada no lado de FortiGate. Esta é a forma máis común do problema.
Definir un grupo non é o mesmo que envialo. Son dous pasos de configuración en dúas pantallas distintas, e normalmente só se fai un deles.
Por que coincidir con Any é unha trampa
Unha coincidencia de grupo remoto Any é un deseño lexítimo cando o servidor RADIUS xa admite exactamente a poboación que quere. Escolla esa delegación deliberadamente. Ampliar a coincidencia para facer desaparecer un atributo que falta admite todas as contas que o servidor RADIUS acepta, incluídas as que nunca deberon ter acceso á VPN. O síntoma desaparece e o control de acceso deixa de existir en silencio.
Se non pode nomear a quen debe admitir o servidor RADIUS, non está preparado para unha coincidencia Any.
Conserve catro rexistros para o soporte
Cando siga sen funcionar, reúna catro cousas: a política RADIUS seleccionada, o atributo de grupo realmente devolto, o servidor FortiGate e o valor co que se comparou, e o grupo local resultante. Eses catro rexistros localizan a rotura sen expor contrasinais nin cambiar a pertenza a grupos para ver que pasa.
Probe unha conta autorizada e outra fóra de alcance coa regra real, e comprobe a política e o acceso aos recursos resultantes, ademais do resultado da autenticación. Só o par lle di se a coincidencia fai o que vostede cre.