რატომ RADIUS-ის VLAN პასუხი VPN მომხმარებლისთვის არაფერს აკეთებს

თქვენ ამატებთ VLAN ატრიბუტს NPS პოლიტიკას, VPN მომხმარებელი უკავშირდება, და ლეპტოპი მაინც ნაგულისხმევ აუზში ხვდება. RADIUS სერვერი აბრუნებს იმას, რაც მოითხოვეთ, რის გამოც ხარვეზი ქეშის პრობლემად გამოიყურება. ჩვეულებრივ ასე არ არის. Access-Accept ატარებს ავტორიზაციის მინიშნებებს, და მხოლოდ იმ ქსელური წვდომის სერვერს, რომელმაც ისინი მიიღო, შეუძლია ერთი მათგანი ქსელურ დანიშვნად აქციოს.

დაიწყეთ გეითვეიდან და არა პოლიტიკიდან

გაიარეთ ჯაჭვი კლიენტიდან შიგნით, სანამ რამეს შეცვლით. კლიენტი გეითვეისგან სესიას ითხოვს, გეითვეი RADIUS-ს ეკითხება, შეიძლება თუ არა მომხმარებელმა ერთი მიიღოს, და RADIUS პასუხობს შედეგით და ატრიბუტების ნაკრებით. შემდეგ გეითვეი იყენებს იმას, რაც იცის როგორ გამოიყენოს.

თქვენი გავლა იწყება მეოთხე ნაბიჯზე, ამიტომ პირველი სამი ჯანსაღად გამოიყურება. გაცვლაში არაფერი ავალდებულებს გეითვეის განახორციელოს მიღებული ატრიბუტი. პასუხი გეითვეისადმი მოთხოვნაა, და არა ფაქტი კლიენტზე.

რას აკეთებს კომუტატორი და VPN-ს არ შეუძლია

802.1X წვდომის კომუტატორი პორტებიანი ავთენტიფიკატორია, და დინამიკური VLAN დანიშვნა ერთ-ერთ ამ პორტს გადააქვს VLAN-ში, რომელსაც კომუტატორი უკვე ატარებს. RADIUS გვირაბის ატრიბუტები აღწერენ ამ განზრახვას იმ ფორმით, რომელიც კომუტატორს ესმის. მარშრუტიზებული VPN გვირაბებს ამთავრებს და არა კომუტატორის პორტებს, და მისი კლიენტები ჩვეულებრივ იღებენ მისამართს და მარშრუტს, და არა წევრობას მაუწყებლობის დომენში. გადასატანი პორტი არ არსებობს, ამიტომ იმავე ატრიბუტს არაფერი აქვს სამოქმედოდ.

ეს მოდელის განსხვავებაა, და არა მომწოდებლის შეცდომა. ზოგი გეითვეი ამატებს საკუთარ ჯგუფურ პოლიტიკას, აუზის შერჩევას ან ფილტრის მექანიზმს, რომელიც ეკრანის სურათზე მსგავსად გამოიყურება. სხვები ამათგან არაფერს ახორციელებენ, და ატრიბუტი იწერება ჟურნალში და იგნორირდება. წაიკითხეთ დისტანციური წვდომის იმ რეჟიმის დოკუმენტაცია, რომელიც ნამდვილად ჩართეთ, და არა ეკრანის სურათზე არსებულის.

წაიკითხეთ პასუხი, რომელიც სერვერმა ნამდვილად გაგზავნა

დაადასტურეთ, რა დააბრუნა RADIUS-მა, და არა რას აჩვენებს პოლიტიკის რედაქტორი. სატესტო მოთხოვნა იმავე მომხმარებლის სახელით და ცნობილი პაროლით ბეჭდავს პასუხის ატრიბუტებს წაკითხვად ფორმაში, და ეს ერთ ნაბიჯში წყვეტს საკითხს.

radtest alice secret 10.0.0.10 0 testing123

თუ VLAN ატრიბუტები ამ პასუხში არ არის, ჯერ გაასწორეთ პოლიტიკის დამთხვევა. თუ ისინი არსებობს, სერვერმა თავისი წილი შეასრულა და ხარვეზი დინების ქვემოთაა.

ჯერ დაამტკიცეთ სესიის პოლიტიკა, შემდეგ ხელმისაწვდომობა

ახლა შეხედეთ სესიას, რომელიც გეითვეიმ ააგო. აქტიური სესიების სია აჩვენებს აუზს, მინიჭებულ მისამართს და ნებისმიერ ჯგუფურ პოლიტიკას, რომელიც გეითვეიმ მიამაგრა, და ეს ერთადერთი მტკიცებულებაა, რომელსაც აღსრულებისთვის მნიშვნელობა აქვს. შეადარეთ ის, რასაც მომხმარებელი მიაღწევს, და არა ის, რაც პოლიტიკას განზრახული ჰქონდა.

swanctl --list-sas

შემდეგ კლიენტიდან გამოსცადეთ ერთი ნებადართული და ერთი უარყოფილი რესურსი, რადგან სწორი აუზიდან მიღებული მისამართი იზოლაციას არ ამტკიცებს. თუ გეითვეის არ აქვს მექანიზმი თქვენთვის სასურველი დანიშვნისთვის, ატრიბუტის მეტი ასლი მას არ შექმნის. მოსალოდნელი აუზის მისამართი შეიძლება არსებობდეს ყველა სხვა აუზზე სრულ წვდომასთან ერთად. აირჩიეთ მხარდაჭერილი პოლიტიკის მექანიზმი ან განზრახ შეცვალეთ ქსელის დიზაინი.