FortiGate VPN дұрыс емес топқа түседі: RADIUS сәйкестендіру
Fortinet-Group-Name жауаппен салыстырылады, жергілікті топ белгісімен емес. Сәйкестендіруді Any-ге кеңейтпес бұрын үш атауды тексеріңіз.
Кіру сәтті аяқталады, туннель көтеріледі, бірақ пайдаланушы қате саясатқа немесе ешбір саясатқа түспейді. FortiGate журналында топтың жоқ болғаны туралы ешнәрсе хабарламайды, өйткені оның жағынан аутентификация жұмыс істеп, топты сәйкестендіру жай ғана іске қосылмады. Тексеру қажет тізбекте үш бөлек атау бар және олар әдетте бірдей жол емес.
Үш міндетті үш атау
Кез келген конфигурацияға қол тигізбес бұрын үшеуін де жазып алыңыз, өйткені екеуі әртүрлі жүйелерде тұрады.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Каталог тобы — RADIUS саясатыңыз бағалайтын нәрсе. Қайтарылған атрибут — Access-Accept жауабының ішіндегі мән. FortiGate жергілікті тобы — саясат атауы бойынша сілтейтін контейнер. Осылардың кез келген екеуін шатастыру жұмыс істейтін кіруді және жұмыс істемейтін авторизацияны тудырады.
Сәйкестендіру шын мәнінде қайда жүреді
Fortinet-тің RADIUS топтарын сәйкестендіру түсіндірмесі бойынша Fortinet-Group-Name әдепкі топ атрибуты болып табылады. FortiGate конфигурацияланған қашықтағы сервер мен топ атауының мәнін жауап әкелген нәрсемен салыстырады, яғни салыстыру қайтарылған жолмен жүреді, жергілікті топтың көрсетілетін белгісімен емес.
Сондықтан VPN-Engineering деп аталатын жергілікті топ vpn-engineering ретінде қайтарылған мәннің қасында тұрып, ешнәрсемен сәйкеспей қалуы мүмкін. Бұл салыстыруда бас әріп пен жазылу сәндік мәселе емес. Бір жол таңдаңыз, оны жауапта қолданыңыз және шлюздің сәйкестендіру ережесінде сол жолға сілтеме жасаңыз.
FortiAuthenticator-да топ атрибутпен байланыстырылып, сәйкес RADIUS қызмет саясатына қосылуы керек, мүмкін болған жерде топ атрибутын қайтару басқаруы қосылуы тиіс.
Жауап атрибутсыз да сәтті болуы мүмкін
NPS немесе басқа RADIUS сервері үшін саясатта каталог тобының шартын қолданып, содан кейін қолдау көрсетілетін жауап атрибутын конфигурациялаңыз. Сәтті құпиясөз тексеруі өздігінен Access-Accept жасайды және топ жолы жоқ Access-Accept — FortiGate жағында ешнәрсеге рұқсат бермейтін толық жарамды жауап. Бұл мәселенің ең жиі кездесетін түрі.
Топты анықтау оны жіберумен бірдей емес. Бұл екі түрлі экрандағы екі конфигурация қадамы және әдетте олардың тек біреуі орындалады.
Неге Any-мен сәйкестендіру — тұзақ
Any қашықтағы топ сәйкестендіруі RADIUS сервері қалаған популяцияны дәл қабылдайтын болса, заңды дизайн болып табылады. Бұл өкілеттікті әдейі таңдаңыз. Жоқ атрибуттан құтылу үшін сәйкестендіруді кеңейту RADIUS сервері кездейсоқ қабылдайтын әрбір тіркелгіні жібереді, соның ішінде VPN рұқсаты ешқашан жоспарланбағандар да бар. Симптом жойылады және рұқсатты бақылау үнсіз жойылады.
RADIUS сервері кімді қабылдауы керек екенін атай алмасаңыз, Any сәйкестендіруге дайын емессіз.
Қолдау үшін төрт жазба сақтаңыз
Әлі де жұмыс істемесе, төрт нәрсе жинаңыз: таңдалған RADIUS саясаты, нақты қайтарылған топ атрибуты, салыстырылған FortiGate сервері мен мәні және нәтижесінде алынған жергілікті топ. Осы төрт жазба құпиясөздерді ашпай және не болатынын көру үшін топ мүшелігін өзгертпей үзілістің орнын анықтайды.
Нақты ереже бойынша бір рұқсат етілген және бір ауқымнан тыс тіркелгіні сынап, аутентификация нәтижесімен қатар нәтижелік саясат пен ресурстарға рұқсатты тексеріңіз. Тек осы жұп сәйкестендіру сіз ойлағандай жұмыс істеп жатқанын айтады.