Ինչու RADIUS-ի VLAN պատասխանը ոչինչ չի անում VPN օգտվողի համար

Դուք ավելացնում եք VLAN հատկանիշը NPS քաղաքականությանը, VPN օգտվողը միանում է, և դյուրակիր համակարգիչը դեռ հայտնվում է լռելյայն լողավազանում։ RADIUS սերվերը վերադարձնում է այն, ինչ դուք խնդրել եք, ինչի պատճառով խափանումը նման է քեշի խնդրի։ Սովորաբար այդպես չէ։ Access-Accept-ը կրում է լիազորման ակնարկներ, և միայն այն ցանցային մուտքի սերվերը, որը ստացել է դրանք, կարող է դրանցից մեկը վերածել ցանցային նշանակման։

Սկսեք գեյթվեյից, ոչ թե քաղաքականությունից

Անցեք շղթան հաճախորդից դեպի ներս, նախքան ինչ-որ բան փոխելը։ Հաճախորդը գեյթվեյից նստաշրջան է խնդրում, գեյթվեյը հարցնում է RADIUS-ին՝ կարո՞ղ է օգտվողը ստանալ այն, և RADIUS-ը պատասխանում է արդյունքով և հատկանիշների հավաքածուով։ Այնուհետև գեյթվեյը կիրառում է այն, ինչ գիտի կիրառել։

Ձեր անցումը սկսվում է չորրորդ քայլից, այդ պատճառով առաջին երեքը առողջ են թվում։ Փոխանակման մեջ ոչինչ չի պարտավորեցնում գեյթվեյին իրականացնել ստացված հատկանիշը։ Պատասխանը հարցում է գեյթվեյին, ոչ թե փաստ հաճախորդի մասին։

Ինչ անում է կոմուտատորը, ինչ VPN-ը չի կարող

802.1X մուտքի կոմուտատորը իսկորոշիչ է՝ նավահանգիստներով, և դինամիկ VLAN նշանակումը այդ նավահանգիստներից մեկը տեղափոխում է VLAN, որը կոմուտատորն արդեն կրում է։ RADIUS թունելի հատկանիշները նկարագրում են այդ մտադրությունը կոմուտատորի հասկացած ձևով։ Երթուղղված VPN-ը վերջացնում է թունելները, ոչ թե կոմուտատորի նավահանգիստները, և դրա հաճախորդները սովորաբար ստանում են հասցե և երթուղի՝ հեռարձակման տիրույթի անդամակցության փոխարեն։ Տեղափոխելու նավահանգիստ չկա, ուստի նույն հատկանիշը գործելու տեղ չունի։

Սա մոդելի տարբերություն է, ոչ թե մատակարարի սխալ։ Որոշ գեյթվեյներ ավելացնում են իրենց խմբային քաղաքականությունը, լողավազանի ընտրություն կամ զտման մեխանիզմ, որը էկրանի նկարում նման է թվում։ Մյուսները ոչինչ չեն իրականացնում դրանից, և հատկանիշը գրանցվում ու անտեսվում է։ Կարդացեք հեռահար մուտքի այն ռեժիմի փաստաթղթերը, որը դուք իրականում միացրել եք, ոչ թե էկրանի նկարի։

Կարդացեք այն պատասխանը, որը սերվերն իրականում ուղարկել է

Հաստատեք, թե RADIUS-ը ինչ վերադարձրեց, ոչ թե այն, ինչ ցուցադրում է քաղաքականության խմբագրիչը։ Նույն օգտանունով և հայտնի գաղտնաբառով փորձնական հարցումը տպում է պատասխանի հատկանիշները ընթեռնելի ձևով, ինչը մեկ քայլով լուծում է հարցը։

radtest alice secret 10.0.0.10 0 testing123

Եթե այդ պատասխանում VLAN հատկանիշները բացակայում են, նախ ուղղեք քաղաքականության համընկնումը։ Եթե դրանք կան, սերվերն արել է իր մասը, և բացը ներքևում է։

Նախ ապացուցեք նստաշրջանի քաղաքականությունը, ապա հասանելիությունը

Այժմ նայեք այն նստաշրջանին, որը կառուցել է գեյթվեյը։ Ակտիվ նստաշրջանների ցանկը ցույց է տալիս լողավազանը, նշանակված հասցեն և ցանկացած խմբային քաղաքականություն, որը կցել է գեյթվեյը, և դա միակ ապացույցն է, որ կարևոր է կիրարկման համար։ Համեմատեք այն, թե ինչին կարող է հասնել օգտվողը, ոչ թե այն, ինչ նախատեսել է քաղաքականությունը։

swanctl --list-sas

Այնուհետև հաճախորդից փորձարկեք մեկ թույլատրված և մեկ մերժված ռեսուրս, որովհետև ճիշտ լողավազանից ստացված հասցեն չի ապացուցում մեկուսացումը։ Եթե գեյթվեյը չունի ձեր ուզած նշանակման մեխանիզմ, հատկանիշի ավելի շատ օրինակներ չեն ստեղծի այն։ Սպասվող լողավազանի հասցեն կարող է գոյություն ունենալ բոլոր մյուս լողավազաններին լրիվ հասանելիության հետ միաժամանակ։ Ընտրեք աջակցվող քաղաքականության մեխանիզմ կամ դիտավորյալ փոխեք ցանցի նախագիծը։