Firwat eng RADIUS-VLAN-Antwert fir e VPN-Benotzer näischt bewierkt

Dir fügt d’VLAN-Attribut der NPS-Politik bäi, de VPN-Benotzer verbënnt sech, an den Laptop landt nach ëmmer am Standardpool. De RADIUS-Server gëtt zréck wat Dir gefrot hutt, dofir gesäit de Feeler wéi e Cacheproblem aus. Meeschtens ass et keent. En Access-Accept dréit Autorisatiounshinweiser, an nëmmen dee Netzwierkzougangsserver, deen se kritt huet, kann een dovun an eng Netzwierkzouweisung ëmwandelen.

Fänkt um Gateway un, net bei der Politik

Gitt d’Ketten vum Client no bannen duerch, ier Dir eppes ännert. De Client freet den Gateway no enger Sessioun, den Gateway freet RADIUS ob de Benotzer eng kréie kann, an RADIUS äntwert mat engem Resultat an enger Rei Attributer. Duerno setzt den Gateway ëm wat en ëmsetze kann.

Ären Duerchgang fänkt um véierte Schrëtt un, dofir gesinn déi éischt dräi gesond aus. Näischt am Austausch verflicht den Gateway, en Attribut ëmzesetzen, deen en kritt huet. D’Äntwert ass eng Ufro un den Gateway, net eng Tatsaach iwwer de Client.

Wat de Switch mécht an de VPN net kann

En 802.1X-Zougangsswitch ass en Authentifizéierer mat Porten, an déi dynamesch VLAN-Zouweisung réckelt ee vun dëse Porten an en VLAN, deen de Switch schonn dréit. D’RADIUS-Tunnelattributer beschreiwen déi Absicht a enger Form, déi de Switch versteet. En geroutete VPN terminéiert Tunnelen, net Switchporten, a seng Cliente kréien normalerweis eng Adress an eng Route amplaz Member vun enger Broadcast-Domän ze sinn. Et gëtt keen Port ze réckelen, dofir huet dee selwechten Attribut näischt, op wat en wierke kann.

Dëst ass en Ënnerscheed am Modell, keen Hierstellerfeeler. E puer Gateways fügen hir eegen Gruppepolitik, Poolauswiel oder e Filtermechanismus bäi, deen op engem Screenshot ähnlech ausgesäit. Anerer setzen näischt dovu ëm, an den Attribut gëtt geloggt an ignoréiert. Liest d’Dokumentatioun fir dee Fernzougangsmodus, deen Dir tatsächlech ageschalt hutt, net deen um Screenshot.

Liest d’Äntwert, déi de Server tatsächlech geschéckt huet

Bestätegt wat RADIUS zréckginn huet, amplaz wat den Politikeditor weist. Eng Testufro mat dem selwechten Benotzernumm an engem bekannte Passwuert dréckt d’Äntwertattributer a liesbarer Form aus, an dat entscheet d’Fro an engem Schrëtt.

radtest alice secret 10.0.0.10 0 testing123

Wann d’VLAN-Attributer an där Äntwert fehlen, verbessert als éischt d’Politik-Iwwereenstëmmung. Wa se do sinn, huet de Server säin Deel gemaach an d’Lück ass weider ënnen.

Beweist als éischt d’Sessiounspolitik, dann d’Erreechbarkeet

Kuckt elo op d’Sessioun, déi den Gateway opgebaut huet. D’Lëscht vun den aktive Sessiounen weist de Pool, déi zougewise Adress an all Gruppepolitik, déi den Gateway ugehaangen huet, an dat ass deen eenzegen Beweis, deen fir d’Duerchsetzung zielt. Vergläicht dat mat deem wat de Benotzer erreeche kann, net mat deem wat d’Politik virgesinn huet.

swanctl --list-sas

Test dann vum Client eng erlaabten an eng verweigert Ressource, well eng Adress aus dem richtegen Pool keng Isolatioun beweist. Wann den Gateway kee Mechanismus fir déi gewënscht Zouweisung huet, schaaft méi Kopien vum Attribut keng. Eng Adress aus dem erwaarten Pool kann nieft vollem Zougang zu all anere Pool bestoen. Wielt en ënnerstëtzte Politikmechanismus oder ännert den Netzwierkdesign bewosst.