E Benotzer an eng VPN-Grupp setzen gëtt nach keen Zougang
Gruppememberschaft ass eng Bedingung, keen Erlaabnis. Kuckt, wat de Gateway wierklech verglach huet, liest den Akzept- oder Refus-Record a probéiert béid Resultater.
D Kont ass an der richteger Grupp, d Aloggen huet fonctionnéiert, an d Verbindung gëtt nach ëmmer refuséiert, oder se verbënnt a kënnt néierens nëtzlech un. D üblech Reaktioun ass, de Benotzer an nach méi Gruppe setzen, bis eppes no gëtt, an esou gi Verbänn vill méi wéi d Ticket gefrot huet. Gruppememberschaft ass een Input fir d Autorisatiounsentscheedung, ni den Entscheed selwer: de Gateway sammelt e puer Fakten iwwer d Sitzung, gläicht se mat enger geuerdeter Politik of an entscheet dann, wat d Sitzung dierf beréieren. Wann eng aner Bedingung feelgeschloen ass, ännert d Grupp just är Expositioun.
Gruppememberschaft ass eng Bedingung, keen Erlaabnis
An RADIUS kënnt d Grupp als Autorisatiounsattribut, an Attributer beschreiwen d Sitzung amplaz se ze erlaben. De Server äntwert mat Access-Accept oder Access-Reject; bei Akzept kann en Filter-Id, Class oder d Tunnelattributer aus RFC 2868 bäisetzen, an den Apparat op der anerer Säit interpretéiert se wéi et den Hiersteller decidéiert huet. Nichts am Protokoll mappt eng Grupp op Vollzougang; déi Mapping schreift deen, deen d Politik um Gateway oder um Netzzougangsserver ageriicht huet.
Dofir behält sech een identeschen Gruppennumm op zwee Systemer anescht. Microsoft NPS setzt Netzpolitiken aus Bedéngungen, Aschränkungen an Astellungen zesummen an evaluéiert se an enger fester Reiefolleg. OpenVPN Access Server huet säin eegent Grupp- a Zougangsregelmodell, während e Community-OpenVPN-Server d Fro dacks un e client-connect-Skript oder eng client-config-dir-Datei ofgëtt.
D Regel, déi gepasst huet, entscheet, net d Grupp déi Dir erwaart hutt
Déi meescht Enginen halen bei der éischter Politik un, déi passt, oder bei der spezifeschster. Wann Politik 3 refuséiert a Politik 7 erlaabt, kann d Sitzung feelen ouni jeemools d Regel z erreechen, déi se duerchgelooss hätt. D Reiefolleg ass eng richteg Astellung op NPS an de meeschten Netzzougangskontrollprodukter an drifft iwwer Joeren.
D Bedéngungen, déi mat der Grupp lafen, sinn déi aner Hallschent. Apparatestatus, Authentifikatiounsmethod, fäerdege MFA, Quellennetz, Zertifikatssujet oder eng Zäitfenster kënnen an der selwechter Politik stoen. Feelt eng dovun, passt d Politik net, d Engine fält duerch an d Standardrefus gëllt. Aus dem Sëtz vum Benotzer gesäit et aus wéi wann d Grupp ignoréiert gëtt; aus dem Sëtz vun der Engine gouf d Grupp ni gefrot.
D Detailer vum Verzeechnis schafen déiselwecht Illusioun. Eng Politik, déi op Windows-Gruppememberschaft passt, liest d SIDen am Token, an do ginn nëmme Sécherheetsgruppe opgezielt, eng Verdeelungsgrupp erschéngt ni. D Primärgrupp steet an hirem eegene Feld, net an der Lëscht, dofir kann eng Politik, déi do drun hänkt, stëll feelen.
Liest den Akzept- oder Refus-Record, ier Dir eng Grupp beréiert
Frot éischt eng Saach: ass d Ufro iwwerhaapt bis op d Autorisatiounsstuf komm? Op NPS steet d Äntwert am Evenementslog, wou 6272 en zougestane Zougang, 6273 e Refus an 6274 eng Ufro verzeichnet, déi de Server virun der Politiksevaluatioun verkaaft huet. Déi dräi Zuele deelen de Problem an dräi verschidde Recherchen, an nëmmen eng geet iwwer Gruppen.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Wann d Log net erreechbar ass, frot de Server direkt a liest wat en zréckgëtt. Eng Äntwert ouni Filter-Id an ouni Tunnelattributer heescht, de Server hält d Sitzung fir gewéinlech an de Gateway applizéiert seng eege Regelen. Eng Äntwert mat Attributer, déi d Duerchsetzungsplaz net ëmsetzt, ass en anere Feeler: d Autorisatioun ass duerchgaang an den Apparat huet d Resultat ignoréiert.
radtest alice 'password' 10.0.0.5 0 testing123Vergläicht d zréckginn Attributer mat deenen, déi de Gateway dokumentéiert, net mat deem wat den Gruppennumm suggeréiert. Dee Verglach trennt meeschtens e Politikproblem vun engem Duerchsetzungsproblem.
Eng Gruppännnerung wierkt net zréck
Autorisatiounsattributer gi just eng Kéier zréck, bei der Authentifikatioun vun der Sitzung. Duerno liest de Gateway d Verzeechnis net fir all Paket nei, dofir leeft eng etabléiert Sitzung weider, nodeem Dir een aus enger Grupp erausgeholl hutt.
Fir d Ännerung ze forcéieren brauch et eng nei Autorisatiounsentscheedung, net just nei Schlësselen. Wou de Server RFC 5176 ënnerstëtzt, forcéiert eng Disconnect-Request oder CoA-Request op UDP 3799 eng Neibewäertung; soss trennt de Client a loosst en nei verbannen. Eng Verhandlung vun nei em mécht d Tunnelschlëssel frësch an léisst d Autorisatiounsresultat meeschtens onberéiert.
Fixéiert d Bedingung, net d Grupp
Wann Dir wësst, wéi eng Politik gezunn huet, ass d Reparatur meeschtens kleng: reiht e Refus ëm, deen d gewollt Erlaabnis iwwerschiedt, ergänzt d feelend Apparat- oder MFA-Bedingung, oder schreift eng schmuel Regel fir déi eng Ressource amplaz de Benotzer an eng Grupp mat zéng aneren ze hiewen.
En kuerze Bou hält d Ännerung éierlech:
- Reproduzéiert de Refus mam urspréngleche Kont a schreift d Evenements-ID op, ier Dir eppes ännert.
- Ännert een Objet, eng Politikreiefolleg, eng eenzeg Bedingung oder eng Grupp, a notéiert wéi eng.
- Maacht eng nei Sitzung op, bestätegt datt d Erlaabnis am Log erschéngt an d Ressource wierklech opgeet.
- Testt e Benotzer, dee weider refuséiert solle ginn, datt d Reparatur d Politik net zoufälleg opgemaach huet.
Wann d Erlaabnis richteg ass an d Ressource awer net opgeet, ass de Problem op Routing oder Nummopléisung iwwergaangen an deem Ament wou d Autorisatioun duerchgaang ass. Haalt déi zwee Feeler auserneen an den nächsten Ticket dauert Minutten, keen Nomëtteg.