Zašto RADIUS VLAN odgovor ne čini ništa za VPN korisnika

Dodate VLAN atribut u NPS politiku, VPN korisnik se poveže, a prijenosnik ipak završi u zadanom poolu. RADIUS poslužitelj vraća ono što ste tražili, zbog čega kvar izgleda kao problem s predmemorijom. Obično nije. Access-Accept nosi naznake autorizacije, a samo mrežni pristupni poslužitelj koji ih je primio može ih pretvoriti u mrežnu dodjelu.

Počnite od gatewaya, a ne od politike

Prođite lanac od klijenta prema unutra prije nego što išta promijenite. Klijent traži sesiju od gatewaya, gateway pita RADIUS smije li korisnik dobiti sesiju, a RADIUS odgovara rezultatom i skupom atributa. Zatim gateway primijeni ono što zna primijeniti.

Vaš prolaz počinje na četvrtom koraku, zato prva tri izgledaju zdravo. Ništa u razmjeni ne obvezuje gateway da implementira primljeni atribut. Odgovor je zahtjev upućen gatewayu, a ne činjenica o klijentu.

Što preklopnik radi što VPN ne može

802.1X pristupni preklopnik je autentifikator s portovima, a dinamička dodjela VLAN-a premješta jedan od tih portova u VLAN koji preklopnik već nosi. RADIUS atributi tunela opisuju tu namjeru u obliku koji preklopnik razumije. Rutirani VPN prekida tunele, a ne portove preklopnika, i njegovi klijenti obično dobiju adresu i rutu umjesto članstva u broadcast domeni. Nema porta za premještanje, pa isti atribut nema na što djelovati.

To je razlika u modelu, a ne greška proizvođača. Neki gatewayi dodaju vlastitu grupnu politiku, odabir poola ili mehanizam filtriranja koji na snimci zaslona izgleda slično. Drugi ne implementiraju ništa od toga, a atribut se bilježi i zanemaruje. Čitajte dokumentaciju za način daljinskog pristupa koji ste stvarno omogućili, a ne za onaj sa snimke zaslona.

Pročitajte odgovor koji je poslužitelj stvarno poslao

Potvrdite što je RADIUS vratio, a ne što prikazuje uređivač politike. Testni zahtjev s istim korisničkim imenom i poznatom lozinkom ispisuje atribute odgovora u čitljivom obliku, što rješava pitanje u jednom koraku.

radtest alice secret 10.0.0.10 0 testing123

Ako VLAN atributi nedostaju u tom odgovoru, prvo popravite podudaranje politike. Ako su prisutni, poslužitelj je odradio svoj dio, a praznina je nizvodno.

Dokažite prvo politiku sesije, zatim dostupnost

Sada pogledajte sesiju koju je gateway izgradio. Popis aktivnih sesija prikazuje pool, dodijeljenu adresu i svaku grupnu politiku koju je gateway priložio, a to je jedini dokaz koji je važan za provedbu. Usporedite to s onim do čega korisnik može doći, a ne s onim što je politika namjeravala.

swanctl --list-sas

Zatim s klijenta testirajte jedan dopušteni i jedan zabranjeni resurs, jer adresa iz ispravnog poola ne dokazuje izolaciju. Ako gateway nema mehanizam za dodjelu koju želite, više kopija atributa ga neće stvoriti. Adresa iz očekivanog poola može postojati uz pun pristup svakom drugom poolu. Odaberite podržani mehanizam politike ili namjerno promijenite dizajn mreže.