FortiGate VPN landt an der falscher Grupp: RADIUS-Matching
Fortinet-Group-Name gëtt mam Äntwert verglach, net mat der lokaler Gruppebezeichnung. Prüft déi dräi Nimm, ier Dir d’Matching op Any erweidert.
D’Umeldung geléngt, den Tunnel geet erop, an de Benotzer landt op der falscher Politik oder op kenger Politik. Näischt am FortiGate-Log mellt, datt d’Grupp gefehlt huet, well vu senger Säit d’Authentifizéierung geschafft huet an d’Gruppematching einfach net ausgeléist gouf. D’Kette, déi Dir musst ënnersichen, enthält dräi getrennte Nimm, an déi sinn normalerweis net déiselwecht Zeechenketten.
Dräi Nimm mat dräi Aufgaben
Schreift all dräi op, ier Dir eng Konfiguratioun ufaasst, well zwee dovu op verschiddene Systemer liewen.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
D’Verzeechnisgrupp ass dat, wat är RADIUS-Politik evaluéiert. Den zréckginn Attribut ass en Wäert an der Access-Accept-Äntwert. D’lokal FortiGate-Grupp ass e Container, op deen d’Politik mam Numm verweist. Zwee dovu verwiesselen ergëtt eng Umeldung, déi funktionéiert, an eng Autorisatioun, déi et net mécht.
Wou d’Matching tatsächlech geschitt
Dem Fortinet seng Erklärung vum RADIUS-Gruppematching nennt Fortinet-Group-Name als Standard-Gruppenattribut. FortiGate vergläicht de konfiguréierten Remote-Server an de Gruppenumm-Wäert mat deem, wat den Äntwert dréit, dat heescht de Verglach ass géint déi zréckginn Zeechenkette, net géint d’Uweisungsbezeichnung vun ärer lokaler Grupp.
Dofir kann eng lokal Grupp mam Numm VPN-Engineering nieft engem zréckginnene Wäert vpn-engineering stoen an iwwerhaapt näischt treffen. Grouss- a Klengschreifung souwéi Schreifweis sinn an dësem Verglach keng Kosmetik. Wielt eng Zeechenkette, benotzt se am Äntwert, a verweist op déiselwecht Zeechenkette an der Matching-Regel vum Gateway.
Op FortiAuthenticator muss d’Grupp mam Attribut associéiert ginn an an déi entspriechend RADIUS-Service-Politik opgeholl ginn, mam Gruppattribut-Zréckgab-Contrôle aktivéiert wou applicabel.
Den Äntwert kann och ouni den Attribut geléngen
Fir NPS oder en anere RADIUS-Server, forcéiert d’Verzeechnisgrupp-Bedingung an der Politik an da konfiguréiert den ënnerstëtzten Äntwertsattribut. Eng erfollegräich Passwuertpréifung produzéiert vun selwer en Access-Accept, an en Access-Accept ouni Gruppzeechenkette ass eng komplett gëlteg Äntwert, déi op der FortiGate-Säit näischt autoriséiert. Dëst ass déi heefegst Form vum Problem.
Eng Grupp definéieren ass net datselwecht wéi se schécken. Dat sinn zwee Konfiguratiounsschrëtt op zwee verschiddene Bildschiermer, an normalerweis gëtt nëmmen ee vun deenen zwee gemaach.
Firwat Matching mat Any eng Falle ass
En Any-Remote-Gruppematching ass en legitimen Design, wann de RADIUS-Server schonn genau déi Populatioun zouloosst, déi Dir wëllt. Wielt déi Delegatioun bewosst. D’Matching erweideren, fir en feelenden Attribut verschwannen ze loossen, léisst all Kont zou, deen de RADIUS-Server just acceptéiert, och déi, déi ni VPN-Zougang solle kréien. De Symptom verschwënnt an d’Zougangskontroll hält stëll op ze existéieren.
Wann Dir net nenne kënnt, wien de RADIUS-Server solle zouloossen, sidd Dir net prett fir en Any-Matching.
Hält véier Opzeechnungen fir den Support
Wann et nach ëmmer net geet, sammelt véier Saachen: déi ausgewielt RADIUS-Politik, den tatsächlech zréckginnene Gruppattribut, de FortiGate-Server an de Wäert, géint deen en verglach gouf, an déi resultéierend lokal Grupp. Déi véier Opzeechnunge lokaliséieren de Broch, ouni Passwierder opzedecken oder d’Gruppememberschaft ze änneren, fir ze gesinn, wat geschitt.
Test ee autoriséierte Kont an ee Kont baussent dem Beräich ënner der richteger Regel, a kontrolléiert déi resultéierend Politik an den Zougang zu Ressourcen souwéi d’Resultat vun der Authentifizéierung. Nëmmen d’Paar seet Iech, ob d’Matching dat mécht, wat Dir denkt.