FortiGate-ի VPN-ը հայտնվում է սխալ խմբում. RADIUS-ի համընկնում
Fortinet-Group-Name-ը համեմատվում է պատասխանի հետ, ոչ թե ձեր տեղական խմբի պիտակի։ Ստուգեք երեք անունները նախքան համընկնումը Any-ի ընդլայնելը։
Մուտքը հաջողվում է, թունելը բարձրանում է, և օգտատերը հայտնվում է սխալ քաղաքականության կամ ընդհանրապես ոչ մի քաղաքականության մեջ։ FortiGate-ի մատյանում ոչինչ չի հայտնում, որ խումբը բացակայում էր, որովհետև իր կողմից նույնականացումը աշխատել է, և խմբի համընկնումը պարզապես չի գործարկվել։ Շղթան, որը պետք է ստուգեք, պարունակում է երեք առանձին անուն, և դրանք սովորաբար նույն տողը չեն։
Երեք անուն՝ երեք խնդիր
Գրեք բոլոր երեքը նախքան որևէ կոնֆիգուրացիայի դիպչելը, որովհետև նրանցից երկուսը տարբեր համակարգերում են ապրում։
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Գրացուցակի խումբը այն է, ինչ գնահատում է ձեր RADIUS քաղաքականությունը։ Վերադարձված հատկանիշը Access-Accept պատասխանի ներսում գտնվող արժեք է։ FortiGate-ի տեղական խումբը կոնտեյներ է, որին քաղաքականությունը հղում է անում անունով։ Դրանցից ցանկացած երկուսը շփոթելը ստեղծում է մուտք, որն աշխատում է, և լիազորում, որը չի աշխատում։
Որտեղ է իրականում կատարվում համընկնումը
Fortinet-ի RADIUS խմբերի համընկնման բացատրությունը նշում է Fortinet-Group-Name որպես լռելյայն խմբի հատկանիշ։ FortiGate-ը համեմատում է կարգավորված հեռավոր սերվերը և խմբի անվան արժեքը պատասխանի պարունակության հետ, ինչը նշանակում է, որ համեմատությունը կատարվում է վերադարձված տողի, այլ ոչ թե ձեր տեղական խմբի ցուցադրվող պիտակի հետ։
Ահա թե ինչու VPN-Engineering անունով տեղական խումբը կարող է կանգնել վերադարձված vpn-engineering արժեքի կողքին և ոչ մի բանի չհամընկնել։ Այս համեմատության մեջ մեծատառությունը և ուղղագրությունը դեկորատիվ չեն։ Ընտրեք մեկ տող, օգտագործեք այն պատասխանում և հղում արեք նույն տողին դարպասի համընկնման կանոնում։
FortiAuthenticator-ում խումբը պետք է կապվի հատկանիշի հետ և ներառվի համապատասխան RADIUS ծառայության քաղաքականության մեջ՝ խմբի հատկանիշի վերադարձի վերահսկումը միացված, որտեղ դա կիրառելի է։
Պատասխանը կարող է հաջողվել առանց հատկանիշի
NPS-ի կամ այլ RADIUS սերվերի համար կիրառեք գրացուցակի խմբի պայմանը քաղաքականության մեջ, ապա կարգավորեք աջակցվող պատասխանի հատկանիշը։ Հաջող գաղտնաբառի ստուգումն ինքնին ստեղծում է Access-Accept, և առանց խմբի տողի Access-Accept-ը լիովին վավեր պատասխան է, որը FortiGate-ի կողմում ոչինչ չի լիազորում։ Սա խնդրի ամենատարածված ձևն է։
Խումբ սահմանելը նույնը չէ, ինչ այն ուղարկելը։ Դրանք երկու կարգավորման քայլեր են երկու տարբեր էկրաններում, և սովորաբար կատարվում է դրանցից միայն մեկը։
Ինչու Any-ի հետ համընկնումը թակարդ է
Any հեռավոր խմբի համընկնումը օրինական ձևավորում է, երբ RADIUS սերվերն արդեն ընդունում է հենց այն պոպուլյացիան, որը դուք ուզում եք։ Ընտրեք այդ լիազորումը գիտակցաբար։ Համընկնումն ընդլայնելը՝ բացակայող հատկանիշից ազատվելու համար, ընդունում է յուրաքանչյուր հաշիվ, որը RADIUS սերվերը պատահաբար ընդունում է, ներառյալ նրանք, որոնք երբեք VPN հասանելիություն ունենալու համար չէին նախատեսված։ Ախտանիշը անհետանում է, և մուտքի վերահսկումը լուռ դադարում է գոյություն ունենալ։
Եթե չեք կարող անվանել, թե ում պետք է ընդունի RADIUS սերվերը, պատրաստ չեք Any համընկնմանը։
Պահեք չորս գրառում աջակցության համար
Երբ այն դեռ չի աշխատում, հավաքեք չորս բան՝ ընտրված RADIUS քաղաքականությունը, փաստացի վերադարձված խմբի հատկանիշը, FortiGate սերվերը և այն արժեքը, որի հետ համեմատվել է, և ստացված տեղական խումբը։ Այս չորս գրառումները տեղորոշում են խափանումը՝ առանց գաղտնաբառեր բացահայտելու կամ խմբի անդամակցությունը փոխելու՝ տեսնելու, թե ինչ կպատահի։
Փորձարկեք մեկ լիազորված և մեկ շրջանակից դուրս հաշիվ իրական կանոնի ներքո, և ստուգեք ստացված քաղաքականությունը և ռեսուրսների հասանելիությունը, ինչպես նաև նույնականացման արդյունքը։ Միայն այս զույգն է ասում, թե արդյոք համընկնումը անում է այն, ինչ դուք կարծում եք։