FortiGate VPN गलत समूह में पहुँचती है: RADIUS मिलान
Fortinet-Group-Name का मिलान उत्तर से होता है, आपके स्थानीय समूह लेबल से नहीं। मिलान को Any तक बढ़ाने से पहले तीनों नाम जाँचें।
लॉगिन सफल होता है, टनल ऊपर आती है, और उपयोगकर्ता गलत नीति पर या किसी भी नीति पर नहीं पहुँचता। FortiGate लॉग में कुछ भी यह नहीं बताता कि समूह अनुपस्थित था, क्योंकि उसकी ओर से प्रमाणीकरण काम कर गया और समूह मिलान बस सक्रिय ही नहीं हुआ। जिस श्रृंखला की आपको जाँच करनी है उसमें तीन अलग नाम हैं, और वे आमतौर पर एक ही स्ट्रिंग नहीं होते।
तीन काम, तीन नाम
किसी भी कॉन्फ़िगरेशन को छूने से पहले तीनों लिख लें, क्योंकि उनमें से दो अलग-अलग सिस्टमों में रहते हैं।
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
डायरेक्टरी समूह वही है जिसका मूल्यांकन आपकी RADIUS नीति करती है। लौटाया गया एट्रिब्यूट Access-Accept उत्तर के भीतर एक मान है। FortiGate का स्थानीय समूह एक कंटेनर है जिसे नीति नाम से संदर्भित करती है। इनमें से किन्हीं दो को मिला देना ऐसा लॉगिन बनाता है जो काम करता है और ऐसा प्राधिकरण जो काम नहीं करता।
मिलान वास्तव में कहाँ होता है
Fortinet का RADIUS समूह मिलान का स्पष्टीकरण बताता है कि Fortinet-Group-Name डिफ़ॉल्ट समूह एट्रिब्यूट है। FortiGate कॉन्फ़िगर किए गए रिमोट सर्वर और समूह-नाम के मान की तुलना उससे करता है जो उत्तर में होता है, यानी तुलना लौटाई गई स्ट्रिंग से होती है, आपके स्थानीय समूह के प्रदर्शित लेबल से नहीं।
इसीलिए VPN-Engineering नाम का स्थानीय समूह vpn-engineering के रूप में लौटाए गए मान के बगल में बैठ सकता है और कुछ भी मेल नहीं खाता। इस तुलना में केस और वर्तनी सौंदर्य नहीं हैं। एक स्ट्रिंग चुनें, उसे उत्तर में इस्तेमाल करें, और गेटवे के मिलान नियम में उसी स्ट्रिंग का संदर्भ दें।
FortiAuthenticator पर समूह को एट्रिब्यूट से जोड़ना होगा और संबंधित RADIUS सेवा नीति में शामिल करना होगा, जहाँ लागू हो वहाँ समूह-एट्रिब्यूट वापसी नियंत्रण सक्षम रखते हुए।
उत्तर एट्रिब्यूट के बिना भी सफल हो सकता है
NPS या किसी अन्य RADIUS सर्वर के लिए, नीति में डायरेक्टरी-समूह शर्त लागू करें और फिर समर्थित उत्तर एट्रिब्यूट कॉन्फ़िगर करें। सफल पासवर्ड जाँच अपने आप एक Access-Accept बनाती है, और समूह स्ट्रिंग के बिना Access-Accept पूरी तरह वैध उत्तर है जो FortiGate की ओर कुछ भी प्राधिकृत नहीं करता। समस्या का यही सबसे आम रूप है।
समूह परिभाषित करना उसे भेजने के समान नहीं है। ये दो अलग स्क्रीनों पर दो कॉन्फ़िगरेशन चरण हैं, और आमतौर पर उनमें से एक ही किया जाता है।
Any से मिलान एक जाल क्यों है
Any रिमोट-समूह मिलान वैध डिज़ाइन है जब RADIUS सर्वर पहले से ठीक वही आबादी स्वीकार करता है जो आप चाहते हैं। यह प्रत्यायोजन जानबूझकर चुनें। अनुपस्थित एट्रिब्यूट हटाने के लिए मिलान बढ़ाने से RADIUS सर्वर जो भी खाता स्वीकार करता है वह भी घुस आता है, उन खातों सहित जिन्हें कभी VPN पहुँच के लिए रखा ही नहीं गया था। लक्षण गायब हो जाता है और पहुँच नियंत्रण चुपचाप अस्तित्व में नहीं रहता।
यदि आप नाम नहीं बता सकते कि RADIUS सर्वर को किसे स्वीकार करना चाहिए, तो आप Any मिलान के लिए तैयार नहीं हैं।
सहायता के लिए चार रिकॉर्ड रखें
जब फिर भी काम न हो, चार चीजें एकत्र करें: चुनी गई RADIUS नीति, वास्तव में लौटाया गया समूह एट्रिब्यूट, जिस FortiGate सर्वर और मान से उसका मिलान हुआ, और परिणामस्वरूप बना स्थानीय समूह। ये चार रिकॉर्ड पासवर्ड उजागर किए बिना और समूह सदस्यता बदले बिना विफलता का स्थान बता देते हैं।
वास्तविक नियम के अंतर्गत एक प्राधिकृत और एक दायरे से बाहर का खाता जाँचें, और प्रमाणीकरण परिणाम के साथ-साथ परिणामी नीति और संसाधन पहुँच भी जाँचें। केवल यही जोड़ी बताती है कि मिलान वही कर रहा है जो आप सोचते हैं।