VPN של FortiGate נוחתת בקבוצה הלא נכונה: התאמת RADIUS
Fortinet-Group-Name מושווה לתשובה, לא לתווית הקבוצה המקומית שלכם. בדקו את שלושת השמות לפני הרחבת ההתאמה ל-Any.
ההתחברות מצליחה, המנהרה עולה, והמשתמש נוחת במדיניות הלא נכונה או בכלל לא במדיניות. שום דבר ביומן FortiGate לא מודיע שהקבוצה הייתה חסרה, כי מצידו האימות עבד והתאמת הקבוצה פשוט לא הופעלה. השרשרת שעליכם לבדוק מכילה שלושה שמות נפרדים, והם בדרך כלל לא אותו מחרוזת.
שלושה שמות עם שלוש תפקידים
רשמו את שלושתם לפני שנוגעים בכל תצורה, כי שניים מהם חיים במערכות שונות.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
קבוצת הספרייה היא מה שהמדיניות שלכם של RADIUS מעריכה. התכונה המוחזרת היא ערך בתוך תגובת Access-Accept. הקבוצה המקומית של FortiGate היא מכולה שהמדיניות מפנה אליה בשמה. ערבוב של כל שניים מהם מייצר התחברות שעובדת והרשאה שלא עובדת.
איפה ההתאמה מתבצעת בפועל
התיעוד של Fortinet להתאמת קבוצות RADIUS מציין ש Fortinet-Group-Name הוא תכונת הקבוצה כברירת מחדל. FortiGate משווה את השרת המרוחק המוגדר ואת ערך שם הקבוצה למה שהתגובה נושאת, כלומר ההשוואה היא מול המחרוזת המוחזרת, ולא מול תווית התצוגה של הקבוצה המקומית שלכם.
לכן קבוצה מקומית בשם VPN-Engineering יכולה לשבת לצד ערך מוחזר vpn-engineering ולא להתאים לשום דבר. אותיות רישיות וכתיב אינם קוסמטיקה בהשוואה הזו. בחרו מחרוזת אחת, השתמשו בה בתגובה, והפנו לאותה מחרוזת בכלל ההתאמה של השער.
ב-FortiAuthenticator יש לשייך את הקבוצה לתכונה ולכלול אותה במדיניות שירות ה-RADIUS המתאימה, עם בקרת החזרת תכונת הקבוצה מופעלת היכן שרלוונטי.
התגובה יכולה להצליח בלי התכונה
עבור NPS או שרת RADIUS אחר, אכפו את תנאי קבוצת הספרייה במדיניות ואז הגדירו את תכונת התגובה הנתמכת. בדיקת סיסמה מוצלחת מייצרת Access-Accept בעצמה, ו Access-Accept בלי מחרוזת קבוצה הוא תגובה תקפה לחלוטין שאינה מאשירה דבר בצד FortiGate. זו הצורה הנפוצה ביותר של הבעיה.
הגדרת קבוצה אינה אותו דבר כמו שליחתה. אלה שני שלבי תצורה בשני מסכים שונים, ובדרך כלל מבוצע רק אחד מהם.
למה התאמה עם Any היא מלכודת
התאמת קבוצה מרוחקת מסוג Any היא עיצוב לגיטימי כששרת ה-RADIUS כבר מקבל בדיוק את האוכלוסייה שאתם רוצים. בחרו בהאצלה הזו במכוון. הרחבת ההתאמה כדי לגרום לתכונה חסרה להיעלם מקבלת כל חשבון ששרת ה-RADIUS מקבל במקרה, כולל כאלה שמעולם לא נועדו לקבל גישה ל-VPN. הסימפטום נעלם ובקרת הגישה מפסיקה בשקט להתקיים.
אם אינכם יכולים לנקוב בשם מי ששרת ה-RADIUS אמור לקבל, אינכם מוכנים להתאמת Any.
שמרו ארבעה רשומות לתמיכה
כשזה עדיין לא עובד, אספו ארבעה דברים: מדיניות ה-RADIUS שנבחרה, תכונת הקבוצה שהוחזרה בפועל, שרת ה-FortiGate והערך שאליו הותאמה, והקבוצה המקומית שהתקבלה. ארבעת הרשומות האלה מאתרים את השבר בלי לחשוף סיסמאות או לשנות חברות בקבוצות כדי לראות מה יקרה.
בדקו חשבון מורשה אחד וחשבון אחד מחוץ לתחום תחת הכלל האמיתי, ובדקו את המדיניות ואת הגישה למשאבים שהתקבלו וכן את תוצאת האימות. רק הזוג אומר לכם אם ההתאמה עושה את מה שאתם חושבים.