VPN FortiGate mendarat di grup yang salah: pencocokan RADIUS

Login berhasil, tunnel naik, dan pengguna mendarat di kebijakan yang salah atau tidak di kebijakan mana pun. Tidak ada apa pun di log FortiGate yang mengumumkan bahwa grup itu hilang, karena dari sisinya autentikasi berhasil dan pencocokan grup sekadar tidak terpicu. Rantai yang perlu Anda periksa berisi tiga nama terpisah, dan biasanya ketiganya bukan string yang sama.

Tiga nama dengan tiga tugas

Tuliskan ketiganya sebelum menyentuh konfigurasi apa pun, karena dua di antaranya hidup di sistem yang berbeda.

Grup direktori adalah yang dievaluasi kebijakan RADIUS Anda. Atribut yang dikembalikan adalah nilai di dalam balasan Access-Accept. Grup lokal FortiGate adalah wadah yang dirujuk kebijakan berdasarkan nama. Mengacaukan dua di antaranya menghasilkan login yang berhasil dan otorisasi yang tidak.

Di mana pencocokan sebenarnya dilakukan

Penjelasan pencocokan grup RADIUS dari Fortinet menyebut Fortinet-Group-Name sebagai atribut grup bawaan. FortiGate membandingkan server jarak jauh yang dikonfigurasi dan nilai nama grup dengan apa yang dibawa balasan, yang berarti perbandingannya terhadap string yang dikembalikan, bukan terhadap label tampilan grup lokal Anda.

Itulah sebabnya grup lokal bernama VPN-Engineering bisa berdampingan dengan nilai yang dikembalikan vpn-engineering dan tidak cocok dengan apa pun. Huruf besar-kecil dan ejaan bukan kosmetik dalam perbandingan ini. Pilih satu string, gunakan string itu di balasan, dan rujuk string yang sama di aturan pencocokan gateway.

Di FortiAuthenticator grup harus dikaitkan dengan atribut dan dimasukkan ke kebijakan layanan RADIUS yang sesuai, dengan kontrol pengembalian atribut grup diaktifkan bila berlaku.

Balasan bisa berhasil tanpa atribut itu

Untuk NPS atau server RADIUS lain, tegakkan kondisi grup direktori di kebijakan lalu konfigurasikan atribut balasan yang didukung. Pemeriksaan kata sandi yang berhasil menghasilkan Access-Accept dengan sendirinya, dan Access-Accept tanpa string grup adalah balasan yang sepenuhnya sah yang tidak mengotorisasi apa pun di sisi FortiGate. Inilah bentuk masalah yang paling umum.

Mendefinisikan grup tidak sama dengan mengirimkannya. Itu dua langkah konfigurasi di dua layar berbeda, dan biasanya hanya satu yang dikerjakan.

Mengapa mencocokkan dengan Any adalah jebakan

Pencocokan grup jarak jauh Any adalah desain yang sah ketika server RADIUS memang sudah menerima persis populasi yang Anda inginkan. Pilih delegasi itu dengan sengaja. Memperluas pencocokan agar atribut yang hilang lenyap akan menerima setiap akun yang kebetulan diterima server RADIUS, termasuk akun yang tidak pernah dimaksudkan mendapat akses VPN. Gejalanya hilang dan kontrol akses diam-diam berhenti ada.

Jika Anda tidak bisa menyebutkan siapa yang seharusnya diterima server RADIUS, Anda belum siap untuk pencocokan Any.

Simpan empat catatan untuk dukungan

Ketika masih tidak berhasil, kumpulkan empat hal: kebijakan RADIUS yang dipilih, atribut grup yang benar-benar dikembalikan, server FortiGate dan nilai yang dibandingkan dengannya, serta grup lokal yang dihasilkan. Keempat catatan itu menemukan titik putusnya tanpa membocorkan kata sandi atau mengubah keanggotaan grup untuk melihat apa yang terjadi.

Uji satu akun yang diotorisasi dan satu akun di luar cakupan dengan aturan sebenarnya, lalu periksa kebijakan dan akses sumber daya yang dihasilkan serta hasil autentikasinya. Hanya pasangan itu yang memberi tahu apakah pencocokan melakukan apa yang Anda kira.