Օգտատիրոջը VPN խմբին ավելացնելը ինքնին մուտք չի տալիս
Խմբի անդամությունը պայման է, ոչ թե թույլտվություն։ Նայեք, թե դարպասը իրականում ինչը համապատասխանեցրեց, կարդացեք ընդունման կամ մերժման գրառումը և ստուգեք երկու արդյունքները։
Հաշիվը դրել եք ճիշտ խմբում, մուտքը հաջողվեց, և կապը դեռ մերժվում է, կամ միանում է ու ոչ մի օգտակար բանի չի հասնում։ Սովորական արձագանքը օգտատիրոջը ավելի շատ խմբեր ավելացնելն է, մինչև ինչ-որ բան զիջի, և այդպես կազմակերպությունները տալիս են շատ ավելին, քան տոմսը խնդրել է։ Խմբի անդամությունը լիազորման որոշման մեկ մուտք է, երբեք՝ որոշումը ինքը. դարպասը հավաքում է սեսիայի մասին մի քանի փաստ, համապատասխանեցնում դրանք կարգավորված քաղաքականությանը և միայն հետո որոշում, թե սեսիան ինչի կարող է դիպչել։ Եթե մեկ այլ պայման ձախողվել է, խումբը փոխելը ոչինչ չի փոխում բացի ձեր ենթարկվածությունից։
Խմբի անդամությունը պայման է, ոչ թե թույլտվություն
RADIUS-ում խումբը գալիս է որպես լիազորման ատրիբուտ, իսկ ատրիբուտները նկարագրում են սեսիան՝ փոխարենը թույլ տալու։ Սերվերը պատասխանում է Access-Accept կամ Access-Reject; ընդունելիս այն կարող է ավելացնել Filter-Id, Class կամ RFC 2868-ի թունելի ատրիբուտները, և մյուս կողմի ցանցային սարքավորումը մեկնաբանում է դրանք այնպես, ինչպես որոշել է արտադրողը։ Արձանագրության մեջ ոչինչ խումբը չի վերածում լրիվ մուտքի. այդ քարտեզագրումը գրում է նա, ով քաղաքականությունը դրել է դարպասի կամ ցանցային մուտքի սերվերի վրա։
Այդ պատճառով նույն խմբի անունը տարբեր կերպ է վարվում երկու համակարգերում։ Microsoft NPS-ը ցանցային քաղաքականությունները կազմում է պայմաններից, սահմանափակումներից և կարգավորումներից ու գնահատում դրանք սահմանված հերթականությամբ։ OpenVPN Access Server-ն ունի իր խմբերի և մուտքի կանոնների մոդելը, իսկ համայնքային OpenVPN սերվերը հաճախ ամբողջ հարցը հանձնում է client-connect սկրիպտին կամ client-config-dir ֆայլին։
Որոշում է այն կանոնը, որը համապատասխանեց, ոչ թե սպասված խումբը
Շարժիչների մեծ մասը կանգ է առնում առաջին համապատասխան քաղաքականության կամ ամենակոնկրետի վրա։ Եթե 3-րդ քաղաքականությունը մերժում է, իսկ 7-րդը թույլ տալիս, սեսիան կարող է ձախողվել՝ այդպես էլ չհասնելով այն կանոնին, որը կանցկացներ այն։ Հերթականությունը իրական կարգավորում է NPS-ում և ցանցային մուտքի վերահսկման արտադրանքների մեծ մասում, և տարիների ընթացքում տեղաշարժվում է։
Խմբի հետ գնացող պայմանները մյուս կեսն են։ Սարքի վիճակը, նույնականացման եղանակը, ավարտված MFA-ն, աղբյուր ցանցը, վկայագրի սուբյեկտը կամ ժամային պատուհանը կարող են լինել նույն քաղաքականության մեջ։ Երբ դրանցից մեկը չի կատարվում, քաղաքականությունը չի համապատասխանում, շարժիչը ընկնում է, և գործում է լռելյայն մերժումը։ Օգտատիրոջ աթոռից թվում է, թե խումբը անտեսվում է. շարժիչի աթոռից խմբին ընդհանրապես չեն հարցրել։
Տեղեկատուի մանրամասները նույն պատրանքն են ստեղծում։ Windows խմբի անդամությամբ համապատասխանող քաղաքականությունը կարդում է օգտատիրոջ թոքենի SID-երը, և այնտեղ թվարկվում են միայն անվտանգության խմբեր, բաշխման խումբը երբեք չի հայտնվում։ Առաջնային խումբը կրվում է իր դաշտում, ոչ ցանկում, ուստի դրան ամրացված քաղաքականությունը կարող է լուռ ձախողվել։
Կարդացեք ընդունման կամ մերժման գրառումը նախքան խմբին դիպչելը
Նախ մի հարց տվեք. հասա՞վ հարցումը լիազորման փուլին։ NPS-ում պատասխանը իրադարձությունների մատյանում է, որտեղ 6272-ը գրանցում է տրված մուտքը, 6273-ը՝ մերժումը, իսկ 6274-ը՝ հարցում, որը սերվերը դեն նետեց մինչև քաղաքականության գնահատումը։ Այդ երեք թիվը խնդիրը բաժանում են երեք տարբեր քննության, և դրանցից միայն մեկն է խմբերի մասին։
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Երբ մատյանը հասանելի չէ, ուղղակիորեն հարցրեք սերվերին և կարդացեք, թե ինչ է վերադարձնում։ Առանց Filter-Id և առանց թունելի ատրիբուտների պատասխանը նշանակում է, որ սերվերը սեսիան սովորական է համարում, և դարպասը կիրառում է իր կանոնները։ Ատրիբուտներով պատասխանը, որոնք կիրարկման կետը չի իրականացնում, այլ խափանում է. լիազորումն անցավ, և սարքը անտեսեց արդյունքը։
radtest alice 'password' 10.0.0.5 0 testing123Համեմատեք վերադարձված ատրիբուտները նրանց հետ, որոնք դարպասը փաստագրում է, ոչ թե այն բանի հետ, ինչ հուշում է խմբի անունը։ Այս համեմատությունը սովորաբար առանձնացնում է քաղաքականության խնդիրը կիրարկման խնդրից։
Խմբի փոփոխությունը հետադարձ ուժ չունի
Լիազորման ատրիբուտները վերադարձվում են մեկ անգամ՝ սեսիայի նույնականացման պահին։ Դարպասը պահում է դրանք սեսիայի վրա և չի վերընթերցում տեղեկատուն յուրաքանչյուր փաթեթի համար, դրա համար էլ հաստատված սեսիան շարունակում է աշխատել այն բանից հետո, երբ ինչ-որ մեկին հանում եք խմբից։
Փոփոխությունն ուժի մեջ մտնելու համար պետք է նոր լիազորման որոշում, ոչ միայն նոր բանալիներ։ Այնտեղ, որտեղ սերվերը սատարում է RFC 5176 դինամիկ լիազորմանը, UDP 3799-ին ուղղված Disconnect-Request-ը կամ CoA-Request-ը ստիպում է սեսիային վերագնահատվել. հակառակ դեպքում անջատեք հաճախորդին և թողեք նորից միանա։ Վերաբանակցումը թարմացնում է թունելի բանալիները և սովորաբար անփոփոխ է թողնում լիազորման արդյունքը։
Ուղղեք պայմանը, ոչ թե խումբը
Երբ իմանաք, թե որ քաղաքականությունն է գործել, ուղղումը սովորաբար փոքր է. վերադասավորեք մերժումը, որը ստվերում է ցանկալի թույլտվությունը, ավելացրեք բացակայող սարքի կամ MFA պայմանը ձեր նկատի ունեցած քաղաքականությանը, կամ գրեք նեղ կանոն այն մեկ ռեսուրսի համար՝ օգտատիրոջը տասը ուրիշներ կրող խումբ բարձրացնելու փոխարեն։
Կարճ ցիկլը փոփոխությունը պահում է ազնիվ.
- Վերարտադրեք մերժումը սկզբնական հաշվով և գրի առեք իրադարձության ID-ն նախքան որևէ բան փոխելը։
- Փոխեք մեկ օբյեկտ՝ քաղաքականության հերթականություն, մեկ պայման կամ մեկ խումբ, և նշեք, թե որն է։
- Բացեք նոր սեսիա, հաստատեք, որ թույլտվությունը երևում է մատյանում, և որ ռեսուրսը իրոք բացվում է։
- Փորձեք օգտատիրոջ, ով դեռ պետք է մերժվի, որպեսզի ուղղումը պատահաբար չընդարձակի քաղաքականությունը։
Եթե թույլտվությունը ճիշտ է, իսկ ռեսուրսը դեռ չի բացվում, խնդիրը տեղափոխվել է երթուղավորում կամ անունների լուծում այն պահին, երբ լիազորումն անցավ։ Առանձնացրեք այդ երկու խափանումները, և հաջորդ տոմսը կտևի րոպեներ, ոչ թե կես օր։