FortiGate-ის VPN არასწორ ჯგუფში ხვდება: RADIUS-ის შედარება
Fortinet-Group-Name შედარებულია პასუხთან და არა თქვენი ლოკალური ჯგუფის ეტიკეტთან. სამი სახელი შეამოწმეთ, სანამ შედარებას Any-მდე გააფართოებთ.
შესვლა წარმატებით სრულდება, გვირაბი ადის და მომხმარებელი არასწორ პოლიტიკაში ან საერთოდ არცერთ პოლიტიკაში ხვდება. FortiGate-ის ჟურნალში არაფერი აცხადებს, რომ ჯგუფი აკლდა, რადგან მისი მხრიდან ავთენტიფიკაცია მუშაობდა და ჯგუფის შედარება უბრალოდ არ ამოქმედებულა. ჯაჭვი, რომელიც უნდა შეამოწმოთ, შეიცავს სამ ცალკე სახელს და ისინი ჩვეულებრივ ერთი და იგივე სტრიქონი არ არის.
სამი სახელი სამი ამოცანით
სამივე ჩაწერეთ, სანამ რომელიმე კონფიგურაციას შეეხებით, რადგან ორი მათგანი სხვადასხვა სისტემაში ცხოვრობს.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
კატალოგის ჯგუფი არის ის, რასაც თქვენი RADIUS პოლიტიკა აფასებს. დაბრუნებული ატრიბუტი არის მნიშვნელობა Access-Accept პასუხის შიგნით. FortiGate-ის ლოკალური ჯგუფი არის კონტეინერი, რომელზეც პოლიტიკა სახელით მიუთითებს. ამათგან ნებისმიერი ორის არევა იძლევა შესვლას, რომელიც მუშაობს, და ავტორიზაციას, რომელიც არ მუშაობს.
სად ხდება შედარება სინამდვილეში
Fortinet-ის RADIUS ჯგუფების შედარების განმარტება ასახელებს Fortinet-Group-Name ნაგულისხმევ ჯგუფის ატრიბუტად. FortiGate ადარებს კონფიგურირებულ დისტანციურ სერვერს და ჯგუფის სახელის მნიშვნელობას იმას, რასაც პასუხი შეიცავს, რაც ნიშნავს, რომ შედარება ხდება დაბრუნებულ სტრიქონთან და არა თქვენი ლოკალური ჯგუფის ჩვენების ეტიკეტთან.
ამიტომ VPN-Engineering სახელის ლოკალური ჯგუფი შეიძლება იდგეს vpn-engineering დაბრუნებული მნიშვნელობის გვერდით და საერთოდ არაფერს დაემთხვეს. ამ შედარებაში დიდი და პატარა ასოები და მართლწერა კოსმეტიკა არ არის. აირჩიეთ ერთი სტრიქონი, გამოიყენეთ ის პასუხში და მიუთითეთ იმავე სტრიქონზე კარიბჭის შედარების წესში.
FortiAuthenticator-ზე ჯგუფი უნდა დაუკავშირდეს ატრიბუტს და შევიდეს შესაბამის RADIUS სერვისის პოლიტიკაში, ჯგუფის ატრიბუტის დაბრუნების კონტროლი ჩართული, სადაც ეს გამოიყენება.
პასუხი შეიძლება წარმატებული იყოს ატრიბუტის გარეშეც
NPS-ის ან სხვა RADIUS სერვერისთვის, პოლიტიკაში აიძულეთ კატალოგის ჯგუფის პირობა და შემდეგ დააკონფიგურირეთ მხარდაჭერილი პასუხის ატრიბუტი. წარმატებული პაროლის შემოწმება თავისთავად ქმნის Access-Accept-ს და ჯგუფის სტრიქონის გარეშე Access-Accept არის სრულიად ვალიდური პასუხი, რომელიც FortiGate-ის მხარეს არაფერს ავტორიზებს. ეს პრობლემის ყველაზე გავრცელებული ფორმაა.
ჯგუფის განსაზღვრა არ არის იგივე, რაც მისი გაგზავნა. ეს ორი კონფიგურაციის ნაბიჯია ორ სხვადასხვა ეკრანზე და ჩვეულებრივ მხოლოდ ერთი კეთდება.
რატომ არის Any-სთან შედარება ხაფანგი
Any დისტანციური ჯგუფის შედარება ლეგიტიმური დიზაინია, როცა RADIUS სერვერი უკვე ზუსტად იმ პოპულაციას უშვებს, რომელიც გსურთ. აირჩიეთ ეს დელეგირება განზრახ. შედარების გაფართოება დაკარგული ატრიბუტის მოსაშორებლად უშვებს ყველა ანგარიშს, რომელსაც RADIUS სერვერი შემთხვევით მიიღებს, მათ ჩათვლით, ვისაც VPN-ზე წვდომა არასდროს უნდა ჰქონოდა. სიმპტომი ქრება და წვდომის კონტროლი ჩუმად წყვეტს არსებობას.
თუ ვერ ასახელებთ, ვინ უნდა მიიღოს RADIUS სერვერმა, Any შედარებისთვის მზად არ ხართ.
შეინახეთ ოთხი ჩანაწერი მხარდაჭერისთვის
როცა ჯერ კიდევ არ მუშაობს, შეაგროვეთ ოთხი რამ: შერჩეული RADIUS პოლიტიკა, ფაქტობრივად დაბრუნებული ჯგუფის ატრიბუტი, FortiGate სერვერი და მნიშვნელობა, რომელსაც შეადარეს, და შედეგად მიღებული ლოკალური ჯგუფი. ეს ოთხი ჩანაწერი ადგენს წყვეტის ადგილს პაროლების გამჟღავნების ან ჯგუფის წევრობის შეცვლის გარეშე, რომ ნახოთ რა მოხდება.
გამოსცადეთ ერთი ავტორიზებული და ერთი ფარგლებს გარეთ მყოფი ანგარიში რეალური წესის ქვეშ და შეამოწმეთ შედეგად მიღებული პოლიტიკა და რესურსებზე წვდომა, ასევე ავთენტიფიკაციის შედეგი. მხოლოდ ეს წყვილი გეტყვით, აკეთებს თუ არა შედარება იმას, რასაც ფიქრობთ.