Miért nem tesz semmit egy RADIUS VLAN-válasz egy VPN-felhasználóért

Hozzáadja a VLAN-attribútumot az NPS-szabályzathoz, a VPN-felhasználó csatlakozik, a laptop mégis az alapértelmezett poolban köt ki. A RADIUS-kiszolgáló visszaadja azt, amit kért, ezért a hiba gyorsítótár-problémának tűnik. Általában nem az. Az Access-Accept engedélyezési nyomokat hordoz, és csak a fogadó hálózati hozzáférési kiszolgáló tud egyet hálózati hozzárendeléssé alakítani.

Az átjárónál kezdje, ne a szabályzatnál

Járja végig a láncot az ügyféltől befelé, mielőtt bármit módosítana. Az ügyfél munkamenetet kér az átjárótól, az átjáró megkérdezi a RADIUS-t, kaphat-e a felhasználó egyet, a RADIUS pedig eredménnyel és attribútumkészlettel válaszol. Ezután az átjáró alkalmazza azt, amit tud.

Az átvizsgálás a negyedik lépésnél kezdődik, ezért tűnik egészségesnek az első három. A cserében semmi sem kötelezi az átjárót egy kapott attribútum megvalósítására. A válasz az átjáróhoz intézett kérés, nem az ügyfélre vonatkozó tény.

Amit a kapcsoló tud és a VPN nem

A 802.1X hozzáférési kapcsoló portokkal rendelkező hitelesítő, és a dinamikus VLAN-hozzárendelés az egyik ilyen portot egy olyan VLAN-ba mozgatja, amelyet a kapcsoló már szállít. A RADIUS-alagút attribútumai ezt a szándékot a kapcsoló által értett formában írják le. A forgalomirányított VPN alagutakat szüntet meg, nem kapcsolóportokat, és ügyfelei általában címet és útvonalat kapnak a sugárzási tartományban való tagság helyett. Nincs mozgatandó port, így ugyanannak az attribútumnak nincs mire hatnia.

Ez modellkülönbség, nem szállítói hiba. Egyes átjárók saját csoportházirendet, poolválasztást vagy szűrőmechanizmust adnak hozzá, amely a képernyőfelvételen hasonlónak látszik. Mások semmit nem valósítanak meg ebből, és az attribútum naplózásra kerül, majd figyelmen kívül marad. A ténylegesen engedélyezett távoli hozzáférési mód dokumentációját olvassa, nem a képernyőfelvételen láthatóét.

Olvassa el a választ, amelyet a kiszolgáló ténylegesen elküldött

Erősítse meg, mit adott vissza a RADIUS, ne azt, amit a szabályzatszerkesztő mutat. Egy ugyanazzal a felhasználónévvel és ismert jelszóval indított tesztkérés olvasható formában kiírja a válaszattribútumokat, ami egy lépésben eldönti a kérdést.

radtest alice secret 10.0.0.10 0 testing123

Ha a VLAN-attribútumok hiányoznak a válaszból, először a szabályzat egyezését javítsa. Ha jelen vannak, a kiszolgáló megtette a részét, és a hiány lejjebb van.

Először a munkamenet-szabályzatot bizonyítsa, majd az elérhetőséget

Most nézze meg az átjáró által felépített munkamenetet. Az aktív munkamenetek listája mutatja a poolt, a kiosztott címet és minden csatolt csoportházirendet, és ez az egyetlen bizonyíték, amely a kényszerítés szempontjából számít. Hasonlítsa össze azzal, amit a felhasználó elérhet, nem azzal, amit a szabályzat szánt.

swanctl --list-sas

Ezután teszteljen az ügyféltől egy engedélyezett és egy megtagadott erőforrást, mert a megfelelő poolból származó cím nem bizonyítja az elkülönítést. Ha az átjárónak nincs mechanizmusa a kívánt hozzárendeléshez, az attribútum további példányai nem hoznak létre egyet. Az elvárt poolból származó cím együtt létezhet teljes hozzáféréssel minden más poolhoz. Válasszon támogatott szabályzatmechanizmust, vagy szándékosan változtassa meg a hálózati tervet.