FortiGate VPN туура эмес топко түшөт: RADIUS дал келтирүү
Fortinet-Group-Name жооп менен салыштырылат, жергиликтүү топ белгиси менен эмес. Дал келтирүүнү Any-ге кеңейтүүдөн мурун үч атты текшериңиз.
Кирүү ийгиликтүү болот, туннель көтөрүлөт, бирок колдонуучу туура эмес саясатка же эч кандай саясатка түшпөйт. FortiGate журналында топ жок болгону жөнүндө эч нерсе билдирилбейт, анткени анын тарабынан аутентификация иштеп, топту дал келтирүү жөн гана ишке кирген жок. Текшерүүгө тийиш болгон чынжырда үч өзүнчө ат бар жана алар адатта бирдей сап эмес.
Үч милдеттүү үч ат
Каалаган конфигурацияга тийүүдөн мурун үчөөнү тең жазып алыңыз, анткени экөө ар башка системаларда жашайт.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Каталог тобу — RADIUS саясатыңыз баалаган нерсе. Кайтарылган атрибут — Access-Accept жообунун ичиндеги маани. FortiGate жергиликтүү тобу — саясат аты боюнча шилтеме кылган контейнер. Булардын каалаган экөөнү аралаштыруу иштеген кирүүнү жана иштебеген авторизацияны жаратат.
Дал келтирүү чындыгында кайда жүрөт
Fortinetдин RADIUS топторун дал келтирүү түшүндүрмөсү боюнча Fortinet-Group-Name демейки топ атрибуту болуп саналат. FortiGate конфигурацияланган алыскы серверди жана топ атынын маанисин жооп алып жүргөн нерсе менен салыштырат, башкача айтканда салыштыруу кайтарылган сап менен жүрөт, жергиликтүү тобуңуздун көрсөтүлгөн белгиси менен эмес.
Ошондуктан VPN-Engineering деп аталган жергиликтүү топ vpn-engineering катары кайтарылган маанинин жанында туруп, эч нерсеге дал келбеши мүмкүн. Бул салыштырууда баш тамга жана жазылышы кооздук маселеси эмес. Бир сап тандаңыз, аны жоопто колдонуңуз жана шлюздин дал келтирүү эрежесинде ошол эле сапка шилтеме жасаңыз.
FortiAuthenticatorдо топ атрибут менен байланыштырылып, тиешелүү RADIUS кызмат саясатына киргизилиши керек, мүмкүн болгон жерде топ атрибутун кайтаруу көзөмөлү күйгүзүлүшү керек.
Жооп атрибутсуз да ийгиликтүү болушу мүмкүн
NPS же башка RADIUS сервери үчүн саясатта каталог тобунун шартын колдонуп, анан колдоого алынган жооп атрибутун конфигурациялаңыз. Ийгиликтүү сырсөз текшерүү өзү эле Access-Accept жаратат жана топ сабы жок Access-Accept — FortiGate тарабында эч нерсеге уруксат бербеген толук жарактуу жооп. Бул маселенин эң кеңири таралган түрү.
Топту аныктоо аны жөнөтүү менен бирдей эмес. Бул эки башка экрандагы эки конфигурация кадамы жана адатта алардын бирөө гана аткарылат.
Эмне үчүн Any менен дал келтирүү — капкан
Any алыскы топ дал келтирүү RADIUS сервери сиз каалаган популяцияны так кабыл алганда мыйзамдуу долбоор болуп саналат. Бул ыйгарым укукту атайын тандаңыз. Жок атрибуттан кутулуу үчүн дал келтирүүнү кеңейтүү RADIUS сервери кокустан кабыл алган ар бир эсепти киргизет, анын ичинде VPN жеткиликтүүлүгү эч качан пландалбагандар да бар. Симптом жоголот жана жеткиликтүүлүктү көзөмөлдөө үнсүз жок болуп калат.
RADIUS сервери кимди кабыл алышы керектигин атай албасаңыз, Any дал келтирүүгө даяр эмессиз.
Колдоо үчүн төрт жазуу сактаңыз
Дагы деле иштебесе, төрт нерсе чогултуңуз: тандалган RADIUS саясаты, иш жүзүндө кайтарылган топ атрибуту, салыштырылган FortiGate сервери жана мааниси, жана натыйжада алынган жергиликтүү топ. Бул төрт жазуу сырсөздөрдү ачпай жана эмне болорун көрүү үчүн топ мүчөлүгүн өзгөртпөй үзүлүштүн ордун аныктайт.
Чыныгы эреже боюнча бир уруксат берилген жана бир алкактан тышкаркы эсепти сынап, аутентификация натыйжасы менен катар натыйжалуу саясатты жана ресурстарга жеткиликтүүлүктү текшериңиз. Ушул эки гана дал келтирүү сиз ойлогондой иштеп жатканын айтат.