Эмне үчүн RADIUS VLAN жообу VPN колдонуучусу үчүн эч нерсе кылбайт

Сиз VLAN атрибутун NPS саясатына кошосуз, VPN колдонуучусу туташат, бирок ноутбук адаткалагы пулга түшө берет. RADIUS сервери сиз сураганды кайтарат, ошондуктан бузулуу кэш көйгөйүндөй көрүнөт. Адатта андай эмес. Access-Accept авторизация белгилерин алып жүрөт, жана аларды алган тармактык кирүү сервери гана бирөөнү тармактык дайындоого айланта алат.

Саясаттан эмес, шлюзден баштаңыз

Бир нерсени өзгөртүүдөн мурун тизмекти кардардан ичкери карай басып өтүңүз. Кардар шлюзден сессия сурайт, шлюз RADIUSтан колдонуучу аны ала алабы деп сурайт, ал эми RADIUS жыйынтык жана атрибуттар топтому менен жооп берет. Андан кийин шлюз эмнени колдонууну билсе, ошону колдонот.

Сиздин текшерүүңүз төртүнчү кадамдан башталат, ошондуктан алгачкы үчөө соо көрүнөт. Алмашууда эч нерсе шлюзди алган атрибутун ишке ашырууга милдеттендирбейт. Жооп шлюзге берилген өтүнүч, кардар жөнүндө факт эмес.

Коммутатор эмне кылат жана VPN эмне кыла албайт

802.1X кирүү коммутатору порттору бар аутентификатор, жана динамикалык VLAN дайындоо ошол порттордун бирин коммутатор мурунтан алып жүргөн VLANга жылдырат. RADIUS туннель атрибуттары бул ниетти коммутатор түшүнгөн формада сүрөттөйт. Маршрутталган VPN туннелдерди бүтүрөт, коммутатор портторун эмес, жана анын кардарлары адатта трансляция доменине мүчөлүктүн ордуна дарегин жана маршрутту алышат. Жылдыра турган порт жок, ошондуктан ошол эле атрибуттун таасир этүүчү нерсеси жок.

Бул модель айырмачылыгы, өндүрүүчүнүн катасы эмес. Кээ бир шлюздер экран сүрөтүндө окшош көрүнгөн өз топтук саясатын, пул тандоосун же чыпкалоо механизмин кошот. Башкалары булардын эч бирин ишке ашырбайт, жана атрибут журналга жазылып, этибарга алынбайт. Экран сүрөтүндөгү эмес, чындыгында күйгүзгөн алыскы кирүү режиминин документтерин окуңуз.

Сервер чындыгында жиберген жоопту окуңуз

RADIUS эмнени кайтарганын ырастаңыз, саясат редактору эмнени көрсөткөнүн эмес. Ошол эле колдонуучу аты жана белгилүү сырсөз менен тесттик өтүнүч жооп атрибуттарын окулуучу формада басып чыгарат, жана бул маселени бир кадамда чечет.

radtest alice secret 10.0.0.10 0 testing123

Эгер VLAN атрибуттары ошол жоопто жок болсо, адегенде саясат дал келүүсүн түзөтүңүз. Эгер алар бар болсо, сервер өз бөлүгүн аткарды, ал эми кемтик төмөндө.

Адегенде сессия саясатын, андан кийин жеткиликтүүлүктү далилдеңиз

Эми шлюз курган сессияны караңыз. Активдүү сессиялардын тизмеси пулду, дайындалган даректи жана шлюз тиркеген ар кандай топтук саясатты көрсөтөт, жана бул аткаруу үчүн маанилүү жалгыз далил. Аны колдонуучу жете ала турган нерсе менен салыштырыңыз, саясаттын ниети менен эмес.

swanctl --list-sas

Андан кийин кардардан бир уруксат берилген жана бир тыюу салынган ресурсту текшериңиз, анткени туура пулдан алынган дарек обочолонууну далилдебейт. Эгер шлюзде каалаган дайындоо үчүн механизм жок болсо, атрибуттун көбүрөөк көчүрмөлөрү аны жаратпайт. Күтүлгөн пулдун дареги бардык башка пулдарга толук кирүү менен катар жашай алат. Колдоого алынган саясат механизмин тандаңыз же тармактын долбоорун атайылап өзгөртүңүз.