FortiGate VPN lendir í röngum hópi: RADIUS-samsvörun
Fortinet-Group-Name er borið saman við svarið, ekki við staðbundna hópmerkinguna þína. Farðu yfir þrjú nöfnin áður en þú víkkar samsvörunina á Any.
Innskráningin tekst, göngin koma upp og notandinn lendir í röngu stefnunni eða engri stefnu. Ekkert í FortiGate-skánni tilkynnir að hópurinn hafi vantað, því frá sínu horni virkaði auðkenningin og hópsamsvörunin var einfaldlega ekki ræst. Keðjan sem þú þarft að skoða inniheldur þrjú aðskilin nöfn, og þau eru yfirleitt ekki sami strengurinn.
Þrjú nöfn og þrjú hlutverk
Skrifaðu öll þrjú niður áður en þú snertir nokkra uppsetningu, því tvö þeirra lifa í mismunandi kerfum.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Skráarhópurinn er það sem RADIUS-stefnan þín metur. Skilað eiginleiki er gildi inni í Access-Accept svarinu. Staðbundinn FortiGate-hópur er geymir sem stefnan vísar til með nafni. Að rugla saman hvaða tveimur sem er af þessum gefur innskráningu sem virkar og heimild sem virkar ekki.
Hvar samsvörunin fer í raun fram
Útskýring Fortinet á RADIUS-hópasamsvörun nefnir Fortinet-Group-Name sem sjálfgefinn hópeiginleika. FortiGate ber saman stillta fjartengdu þjónustuna og gildi hópnafnsins við það sem svarið ber, sem þýðir að samanburðurinn er við skilaða strenginn, ekki við skjámerkinguna á staðbundnum hópi þínum.
Þess vegna getur staðbundinn hópur að nafni VPN-Engineering staðið við hlið skilaðs gildis vpn-engineering og samsvarað engu. Stórir og litlir stafir og stafsetning eru ekki skraut í þessum samanburði. Veldu einn streng, notaðu hann í svarinu og vísaðu í sama streng í samsvörunarreglu gáttarinnar.
Á FortiAuthenticator verður hópurinn að vera tengdur eiginleikanum og tekinn inn í samsvarandi RADIUS-þjónustustefnu, með stjórn á skilum hópeiginleikans virka þar sem við á.
Svarið getur tekist án eiginleikans
Fyrir NPS eða annan RADIUS-þjón, framfylgdu skilyrði skráarhópsins í stefnunni og stilltu síðan studda svarseiginleikann. Árangursrík lykilorðsprófun framleiðir Access-Accept upp á sitt einsdæmi, og Access-Accept án hópstrengs er fullkomlega gilt svar sem heimilar ekkert á FortiGate-hliðinni. Þetta er algengasta mynd vandans.
Að skilgreina hóp er ekki það sama og að senda hann. Þetta eru tvö uppsetningarskref á tveimur mismunandi skjám, og yfirleitt er aðeins annað þeirra gert.
Hvers vegna samsvörun við Any er gildra
Any-samsvörun fjartengdra hópa er lögmæt hönnun þegar RADIUS-þjónninn tekur þegar við nákvæmlega þeim hópi sem þú vilt. Veldu þá framsalið viljandi. Að víkka samsvörunina til að losna við eiginleika sem vantar tekur við hverjum þeim reikningi sem RADIUS-þjónninn tekur við, þar á meðal þeim sem aldrei áttu að hafa VPN-aðgang. Einkennið hverfur og aðgangsstýringin hættir hljóðlaust að vera til.
Ef þú getur ekki nefnt hverjum RADIUS-þjónninn á að taka við, ertu ekki tilbúin fyrir Any-samsvörun.
Geymdu fjórar færslur fyrir stuðning
Þegar það virkar enn ekki skaltu safna fjórum hlutum: RADIUS-stefnunni sem var valin, hópeiginleikanum sem var í raun skilað, FortiGate-þjóninum og gildinu sem var borið saman við, og staðbundna hópnum sem varð til. Þessar fjórar færslur staðsetja rofið án þess að afhjúpa lykilorð eða breyta hópmeðlimi til að sjá hvað gerist.
Prófaðu einn heimilaðan og einn reikning utan sviðs undir raunverulegu reglunni, og athugaðu stefnuna og aðganginn að auðlindum sem verður til auk auðkenningarinnar. Aðeins parið segir þér hvort samsvörunin gerir það sem þú heldur.