למה תגובת RADIUS של VLAN לא עושה דבר למשתמש VPN

אתם מוסיפים את תכונת VLAN למדיניות NPS, משתמש ה-VPN מתחבר, והמחשב הנייד עדיין נוחת בבריכה המוגדרת כברירת מחדל. שרת RADIUS מחזיר את מה שביקשתם, ולכן הכשל נראה כמו בעיית מטמון. בדרך כלל זה לא. Access-Accept נושא רמזי הרשאה, ורק שרת גישה לרשת שקיבל אותם יכול להפוך אחד מהם להקצאת רשת.

התחילו בשער, לא במדיניות

עברו על השרשרת מהלקוח פנימה לפני שאתם משנים משהו. הלקוח מבקש הפעלה מהשער, השער שואל את RADIUS אם המשתמש רשאי לקבל אחת, ו-RADIUS עונה בתוצאה ובקבוצת תכונות. לאחר מכן השער מיישם את מה שהוא יודע ליישם.

המסלול שלכם מתחיל בשלב הרביעי, ולכן שלושת הראשונים נראים תקינים. שום דבר בהחלפה לא מחייב את השער ליישם תכונה שהוא קיבל. התגובה היא בקשה אל השער, לא עובדה על הלקוח.

מה המתג עושה וה-VPN לא יכול

מתג גישה 802.1X הוא מאמת עם פורטים, והקצאת VLAN דינמית מעבירה אחד מהפורטים האלה ל-VLAN שהמתג כבר נושא. תכונות מנהרת RADIUS מתארות את הכוונה הזו בצורה שהמתג מבין. VPN מנותב מסיים מנהרות, לא פורטים של מתג, והלקוחות שלו מקבלים בדרך כלל כתובת ומסלול במקום חברות בתחום שידור. אין פורט להעביר, ולכן לאותה תכונה אין על מה לפעול.

זה הבדל במודל, לא באג של ספק. חלק מהשערים מוסיפים מדיניות קבוצה משלהם, בחירת בריכה או מנגנון סינון שנראה דומה בצילום מסך. אחרים לא מיישמים דבר מזה, והתכונה נרשמת ביומן ומתעלמים ממנה. קראו את התיעוד של מצב הגישה מרחוק שהפעלתם בפועל, לא זה שבצילום המסך.

קראו את התגובה שהשרת שלח בפועל

אשרו מה RADIUS החזיר ולא מה שעורך המדיניות מציג. בקשת בדיקה עם אותו שם משתמש וסיסמה ידועה מדפיסה את תכונות התגובה בצורה קריאה, וזה מכריע את השאלה בשלב אחד.

radtest alice secret 10.0.0.10 0 testing123

אם תכונות ה-VLAN חסרות בתגובה הזו, תקנו קודם את התאמת המדיניות. אם הן קיימות, השרת עשה את חלקו והפער נמצא בהמשך.

הוכיחו קודם את מדיניות ההפעלה, אחר כך את הנגישות

כעת הביטו בהפעלה שהשער בנה. רשימת ההפעלות הפעילות מציגה את הבריכה, הכתובת שהוקצתה וכל מדיניות קבוצה שהשער צירף, וזו הראיה היחידה שחשובה לאכיפה. השוו את זה למה שהמשתמש יכול להגיע אליו, לא למה שהמדיניות התכוונה.

swanctl --list-sas

לאחר מכן בדקו מהלקוח משאב אחד מותר ואחד חסום, כי כתובת מהבריכה הנכונה לא מוכיחה בידוד. אם לשער אין מנגנון להקצאה שאתם רוצים, עותקים נוספים של התכונה לא ייצרו אחד. כתובת מהבריכה הצפויה יכולה להתקיים לצד גישה מלאה לכל בריכה אחרת. בחרו מנגנון מדיניות נתמך או שנו את תכנון הרשת בכוונה.