Mengapa balasan RADIUS VLAN tidak melakukan apa pun bagi pengguna VPN

Anda menambahkan atribut VLAN ke kebijakan NPS, pengguna VPN terhubung, dan laptop tetap mendarat di kumpulan bawaan. Server RADIUS mengembalikan apa yang Anda minta, sehingga kegagalan tampak seperti masalah cache. Biasanya bukan. Access-Accept membawa petunjuk otorisasi, dan hanya server akses jaringan yang menerimanya dapat mengubahnya menjadi penetapan jaringan.

Mulailah dari gateway, bukan dari kebijakan

Telusuri rantai dari klien ke dalam sebelum mengubah apa pun. Klien meminta sesi ke gateway, gateway bertanya kepada RADIUS apakah pengguna boleh mendapatkannya, dan RADIUS menjawab dengan hasil dan sekumpulan atribut. Gateway lalu menerapkan apa yang diketahuinya cara menerapkannya.

Penelusuran Anda dimulai pada langkah keempat, itulah sebabnya tiga langkah pertama tampak sehat. Tidak ada dalam pertukaran itu yang mewajibkan gateway menerapkan atribut yang diterimanya. Balasan adalah permintaan kepada gateway, bukan fakta tentang klien.

Apa yang dilakukan switch dan VPN tidak bisa

Switch akses 802.1X adalah pengautentikasi dengan port, dan penetapan VLAN dinamis memindahkan salah satu port itu ke VLAN yang sudah dibawa switch. Atribut terowongan RADIUS menggambarkan maksud itu dalam bentuk yang dipahami switch. VPN yang dirutekan mengakhiri terowongan, bukan port switch, dan kliennya biasanya menerima alamat dan rute alih-alih keanggotaan domain siaran. Tidak ada port untuk dipindahkan, jadi atribut yang sama tidak punya sasaran.

Ini perbedaan model, bukan bug vendor. Beberapa gateway menambahkan kebijakan grup mereka sendiri, pemilihan kumpulan atau mekanisme filter yang tampak serupa di tangkapan layar. Yang lain tidak menerapkan satu pun, dan atribut dicatat lalu diabaikan. Bacalah dokumentasi untuk mode akses jarak jauh yang benar-benar Anda aktifkan, bukan yang ada di tangkapan layar.

Baca balasan yang benar-benar dikirim server

Pastikan apa yang dikembalikan RADIUS, bukan apa yang ditampilkan editor kebijakan. Permintaan uji dengan nama pengguna yang sama dan kata sandi yang diketahui mencetak atribut balasan dalam bentuk yang terbaca, dan itu menyelesaikan pertanyaan dalam satu langkah.

radtest alice secret 10.0.0.10 0 testing123

Jika atribut VLAN tidak ada dalam balasan itu, perbaiki kecocokan kebijakan lebih dulu. Jika ada, server telah melakukan bagiannya dan celahnya ada di hilir.

Buktikan kebijakan sesi lebih dulu, lalu keterjangkauan

Sekarang lihat sesi yang dibangun gateway. Daftar sesi aktif menunjukkan kumpulan, alamat yang ditetapkan, dan kebijakan grup apa pun yang dilampirkan gateway, dan itulah satu-satunya bukti yang penting untuk penegakan. Bandingkan dengan apa yang dapat dijangkau pengguna, bukan dengan apa yang dimaksud kebijakan.

swanctl --list-sas

Lalu uji dari klien satu sumber daya yang diizinkan dan satu yang ditolak, karena alamat dari kumpulan yang benar tidak membuktikan isolasi. Jika gateway tidak memiliki mekanisme untuk penetapan yang Anda inginkan, lebih banyak salinan atribut tidak akan membuatnya. Alamat dari kumpulan yang diharapkan dapat hidup berdampingan dengan akses penuh ke setiap kumpulan lain. Pilih mekanisme kebijakan yang didukung atau ubah desain jaringan dengan sengaja.