Неге RADIUS VLAN жауабы VPN қолданушысы үшін ештеңе істемейді

Сіз VLAN атрибутын NPS саясатына қосасыз, VPN қолданушысы қосылады, бірақ ноутбук әдепкі пулға түсе береді. RADIUS сервері сіз сұрағанды қайтарады, сол себепті ақау кэш мәселесіндей көрінеді. Әдетте олай емес. Access-Accept авторизация белгілерін тасымалдайды, және оларды алған желілік қатынау сервері ғана біреуін желілік тағайындауға айналдыра алады.

Саясаттан емес, шлюзден бастаңыз

Бірдеңені өзгертуден бұрын тізбекті клиенттен ішке қарай жүріп өтіңіз. Клиент шлюзден сессия сұрайды, шлюз RADIUS-тан қолданушының оны ала алатынын сұрайды, ал RADIUS нәтиже мен атрибуттар жиынымен жауап береді. Содан кейін шлюз қалай қолдануды білетінін қолданады.

Сіздің тексеруіңіз төртінші қадамнан басталады, сондықтан алғашқы үшеуі сау көрінеді. Айырбаста ештеңе шлюзді алған атрибутын іске асыруға міндеттемейді. Жауап шлюзге қойылған сұраныс, клиент туралы факт емес.

Коммутатор не істейді және VPN не істей алмайды

802.1X қатынау коммутаторы порттары бар аутентификатор болып табылады, ал динамикалық VLAN тағайындауы сол порттардың біреуін коммутатор әлдеқашан тасымалдайтын VLAN-ға жылжытады. RADIUS туннель атрибуттары бұл ниетті коммутатор түсінетін пішінде сипаттайды. Маршрутталған VPN туннельдерді аяқтайды, коммутатор порттарын емес, және оның клиенттері әдетте хабар тарату доменіне мүшелік орнына мекенжай мен маршрут алады. Жылжытатын порт жоқ, сондықтан сол атрибуттың әсер ететін нәрсесі жоқ.

Бұл модель айырмашылығы, өндіруші қатесі емес. Кейбір шлюздер экран суретінде ұқсас көрінетін өз топтық саясатын, пул таңдауын немесе сүзгі механизмін қосады. Басқалары бұның ешқайсысын іске асырмайды, және атрибут журналға жазылып, еленбейді. Экран суретіндегі емес, шын мәнінде қосқан қашықтан қатынау режимінің құжаттамасын оқыңыз.

Сервер шын мәнінде жіберген жауапты оқыңыз

RADIUS-тың не қайтарғанын растаңыз, саясат редакторы не көрсететінін емес. Бірдей пайдаланушы атымен және белгілі құпиясөзбен тест сұранысы жауап атрибуттарын оқылатын пішінде басып шығарады, және бұл мәселені бір қадамда шешеді.

radtest alice secret 10.0.0.10 0 testing123

Егер VLAN атрибуттары сол жауапта жоқ болса, алдымен саясат сәйкестігін түзетіңіз. Егер олар бар болса, сервер өз бөлігін орындады, ал олқылық төменде.

Алдымен сессия саясатын, содан кейін қолжетімділікті дәлелдеңіз

Енді шлюз құрған сессияға қараңыз. Белсенді сессиялар тізімі пулды, тағайындалған мекенжайды және шлюз тіркеген кез келген топтық саясатты көрсетеді, және бұл орындау үшін маңызды жалғыз дәлел. Оны қолданушы қол жеткізе алатын нәрсемен салыстырыңыз, саясаттың ниетімен емес.

swanctl --list-sas

Содан кейін клиенттен бір рұқсат етілген және бір тыйым салынған ресурсты тексеріңіз, өйткені дұрыс пулдан алынған мекенжай оқшаулауды дәлелдемейді. Егер шлюзде қалаған тағайындауға арналған механизм болмаса, атрибуттың көбірек көшірмелері оны жасамайды. Күтілетін пулдың мекенжайы қалған барлық пулдарға толық қатынаспен қатар өмір сүре алады. Қолдау көрсетілетін саясат механизмін таңдаңыз немесе желі дизайнын әдейі өзгертіңіз.