A FortiGate VPN rossz csoportba kerül: RADIUS-egyeztetés

A bejelentkezés sikerül, az alagút felépül, a felhasználó mégis a rossz házirendbe vagy egyáltalán nem kerül házirendbe. A FortiGate naplójában semmi sem jelzi, hogy hiányzott a csoport, mert az ő oldalán a hitelesítés működött, és a csoportegyeztetés egyszerűen nem aktiválódott. A vizsgálandó lánc három különálló nevet tartalmaz, és ezek általában nem ugyanaz a karakterlánc.

Három név, három feladat

Írja fel mindhármat, mielőtt bármilyen konfigurációhoz nyúl, mert közülük kettő különböző rendszereken él.

A címtárcsoport az, amit a RADIUS-házirend értékel. A visszaadott attribútum az Access-Accept válaszon belüli érték. A helyi FortiGate-csoport olyan konténer, amelyre a házirend név szerint hivatkozik. Bármelyik kettő összekeverése olyan bejelentkezést eredményez, amely működik, és olyan engedélyezést, amely nem.

Hol történik valójában az egyeztetés

A Fortinet RADIUS-csoportegyeztetésről szóló magyarázata szerint a Fortinet-Group-Name az alapértelmezett csoportattribútum. A FortiGate a beállított távoli kiszolgálót és a csoportnév értékét ahhoz hasonlítja, amit a válasz hordoz, vagyis az összehasonlítás a visszaadott karakterlánccal történik, nem a helyi csoport megjelenített címkéjével.

Ezért fordulhat elő, hogy egy VPN-Engineering nevű helyi csoport egy vpn-engineering visszaadott érték mellett áll, és semmivel sem egyezik. A kis- és nagybetűk, valamint a helyesírás ebben az összehasonlításban nem kozmetika. Válasszon egy karakterláncot, használja a válaszban, és ugyanarra a karakterláncra hivatkozzon az átjáró egyeztetési szabályában.

A FortiAuthenticatoron a csoportot hozzá kell rendelni az attribútumhoz, és fel kell venni a megfelelő RADIUS-szolgáltatási házirendbe, a csoportattribútum visszaadásának vezérlését engedélyezve, ahol ez alkalmazható.

A válasz az attribútum nélkül is sikeres lehet

NPS vagy más RADIUS-kiszolgáló esetén kényszerítse ki a címtárcsoport feltételét a házirendben, majd állítsa be a támogatott válaszattribútumot. A sikeres jelszóellenőrzés önmagában Access-Accept választ állít elő, és a csoportkarakterlánc nélküli Access-Accept teljesen érvényes válasz, amely a FortiGate oldalán semmit sem engedélyez. Ez a probléma leggyakoribb formája.

Egy csoport meghatározása nem ugyanaz, mint elküldése. Ez két konfigurációs lépés két különböző képernyőn, és általában csak az egyiket végzik el.

Miért csapda az Any-jal való egyeztetés

Az Any távoli csoportegyeztetés legitim tervezés, ha a RADIUS-kiszolgáló már pontosan azt a sokaságot fogadja el, amelyet szeretne. Válassza ezt a delegálást szándékosan. Az egyeztetés kiszélesítése egy hiányzó attribútum eltüntetésére minden olyan fiókot beenged, amelyet a RADIUS-kiszolgáló éppen elfogad, beleértve azokat is, amelyeknek soha nem kellett volna VPN-hozzáférést kapniuk. A tünet eltűnik, és a hozzáférés-vezérlés csendesen megszűnik létezni.

Ha nem tudja megnevezni, kit kell a RADIUS-kiszolgálónak beengednie, akkor nem áll készen egy Any-egyeztetésre.

Tartson négy feljegyzést a támogatáshoz

Ha még mindig nem működik, gyűjtsön össze négy dolgot: a kiválasztott RADIUS-házirendet, a ténylegesen visszaadott csoportattribútumot, a FortiGate-kiszolgálót és az értéket, amellyel egyeztették, valamint az eredményként létrejött helyi csoportot. Ez a négy feljegyzés behatárolja a törést anélkül, hogy jelszavakat tenne közzé, vagy megváltoztatná a csoporttagságot, hogy lássa, mi történik.

Teszteljen egy engedélyezett és egy hatókörön kívüli fiókot a valódi szabály mellett, és ellenőrizze az eredményül kapott házirendet és az erőforrás-hozzáférést, valamint a hitelesítés eredményét. Csak ez a pár mondja meg, hogy az egyeztetés azt teszi-e, amit gondol.