Пайдаланушыны VPN тобына қосу өздігінен қатынас бермейді
Топ мүшелігі — бір шарт, рұқсат емес. Шлюз нақты нені сәйкестендіргенін қараңыз, қабылдау немесе бас тарту жазбасын оқыңыз және екі нәтижені де тексеріңіз.
Тіркелгі дұрыс топта, кіру сәтті, бірақ қосылым қабылданбайды немесе пайдалы ештеңеге жетпейді. Бірдеңе босаңсығанша топ қосу артық рұқсат береді. Топ мүшелігі — авторизацияның бір кірісі, шешімнің өзі емес: шлюз сессия фактілерін жинап, реттелген саясатпен салыстырады, содан кейін ғана шешеді. Басқа шарт орындалмаса, топты өзгерту тек әсер ету аймағын өзгертеді.
Топ мүшелігі — шарт, рұқсат емес
RADIUS-та топ авторизация атрибуты ретінде келеді, ал атрибуттар сессияны сипаттайды, рұқсат бермейді. Сервер Access-Accept немесе Access-Reject деп жауап береді; қабылдағанда Filter-Id, Class немесе RFC 2868 туннель атрибуттарын қоса алады, ал арғы жақтағы желі құрылғысы оларды өндіруші шешіміне қарай түсіндіреді. Протоколда топты толық қатынасқа айналдыратын ештеңе жоқ; бұл сәйкестендіруді шлюзде саясатты құрған адам жазады.
Сондықтан бірдей топ атауы екі жүйеде әртүрлі әрекет етеді. Microsoft NPS желі саясаттарын шарттар, шектеулер мен параметрлерден құрап, белгіленген ретпен бағалайды. OpenVPN Access Server-дің өз топ және қатынас ережелері моделі бар, ал қауымдастық OpenVPN сервері бүкіл сұрақты client-connect скриптіне немесе client-config-dir файлына тапсырады.
Шешімді сәйкес келген ереже қабылдайды, күткен топ емес
Көптеген қозғалтқыштар бірінші сәйкес саясатта немесе ең нақтысында тоқтайды. Егер 3-саясат бас тартып, 7-саясат рұқсат етсе, сессия оны өткізетін ережеге жетпей-ақ сәтсіз аяқталуы мүмкін. Рет — NPS-те және көптеген желілік қатынас бақылау өнімдерінде нақты параметр және жылдар бойы жылжиды.
Топпен бірге жүретін шарттар — екінші жартысы. Құрылғы күйі, аутентификация әдісі, аяқталған MFA, бастапқы желі, сертификат субъектісі немесе уақыт терезесі сол саясатта болуы мүмкін. Біреуі орындалмаса, саясат сәйкес келмейді, қозғалтқыш төмен түседі және әдепкі бас тарту қолданылады. Пайдаланушы жағынан топ еленбеген сияқты; қозғалтқыш жағынан топтан сұралмаған.
Каталог бөлшектері сол елес жасайды. Windows топ мүшелігіне сәйкестендіретін саясат пайдаланушы токеніндегі SID-терді оқиды, онда тек қауіпсіздік топтары тізіледі, тарату тобы ешқашан шықпайды. Негізгі топ жеке өрісте жүреді, тізімде емес, сондықтан оған бекітілген саясат үнсіз сәтсіз болуы мүмкін.
Топты ұстамас бұрын қабылдау немесе бас тарту жазбасын оқыңыз
Алдымен бір сұрақ: сұраныс авторизация кезеңіне жетті ме? NPS-те жауап оқиғалар журналында, онда 6272 берілген қатынасты, 6273 бас тартуды, 6274 саясатты бағалауға дейін сервер лақтырған сұранысты жазады. Бұл үш сан мәселені үш түрлі тергеуге бөледі, тек біреуі топтар туралы.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Журнал қолжетімсіз болса, серверден тікелей сұрап, жауабын оқыңыз. Filter-Id және туннель атрибуттары жоқ жауап сервер сессияны қарапайым санайды және шлюз өз ережелерін қолданады дегенді білдіреді. Орындау нүктесі іске асырмайтын атрибуттары бар жауап — басқа ақау: авторизация өтті, құрылғы нәтижені елемеді.
radtest alice 'password' 10.0.0.5 0 testing123Қайтарылған атрибуттарды шлюз құжаттайтындармен салыстырыңыз, топ атауы меңзейтінмен емес. Бұл салыстыру әдетте саясат мәселесін орындау мәселесінен ажыратады.
Топты өзгерту кері әрекет етпейді
Авторизация атрибуттары сессия аутентификацияланғанда бір рет қайтарылады. Шлюз оларды сессияда сақтайды және әр пакет үшін каталогты қайта оқымайды, сондықтан біреуді топтан шығарғаннан кейін де орнатылған сессия жұмысын жалғастырады.
Өзгеріс күшіне енуі үшін жаңа авторизация шешімі қажет, тек жаңа кілттер емес. Сервер RFC 5176 динамикалық авторизациясын қолдаса, UDP 3799-ға Disconnect-Request немесе CoA-Request сессияны қайта бағалауға мәжбүрлейді; әйтпесе клиентті ажыратып, қайта қосылуға жіберіңіз. Қайта келіссөз туннель кілттерін жаңартады және авторизация нәтижесін әдетте қозғамайды.
Шартты түзетіңіз, топты емес
Қай саясат іске қосылғанын білгеннен кейін түзету әдетте шағын: күтілген рұқсатты жабатын бас тартуды қайта реттеңіз, көздеген саясатқа жетпейтін құрылғы немесе MFA шартын қосыңыз, немесе пайдаланушыны тағы онды алып жүретін топқа көтерудің орнына бір ресурсқа тар ереже жазыңыз.
Қысқа цикл өзгерісті адал ұстайды:
- Бас тартуды бастапқы тіркелгімен қайталап, бірдеңе өзгертуден бұрын оқиға ID-ін жазыңыз.
- Бір нысанды өзгертіңіз, саясат ретін, бір шартты немесе бір топты, және қайсысын жазыңыз.
- Жаңа сессия ашып, рұқсаттың журналда көрінетінін және ресурстың шынымен ашылатынын растаңыз.
- Әлі де бас тартылуы тиіс пайдаланушыны тексеріңіз, түзету саясатты абайсыз кеңейтпесін.
Рұқсат дұрыс болса да ресурс ашылмаса, мәселе маршруттауға немесе атау шешуге көшті авторизация өткен сәтте. Осы екі ақауды бөлек ұстаңыз, келесі билет минут алады.