FortiGate VPN patenka į netinkamą grupę: RADIUS atitikimas
Fortinet-Group-Name lyginamas su atsakymu, o ne su vietiniu grupės pavadinimu. Patikrinkite tris pavadinimus prieš išplėsdami atitikimą iki Any.
Prisijungimas pavyksta, tunelis pakyla, bet vartotojas patenka į netinkamą politiką arba į jokios politikos nepatenka. FortiGate žurnale niekas nepraneša, kad grupės trūko, nes iš jo pusės autentifikacija veikė, o grupės atitikimas tiesiog neįsijungė. Grandinė, kurią reikia ištirti, turi tris atskirus pavadinimus, ir dažniausiai jie nėra ta pati eilutė.
Trys pavadinimai su trimis užduotimis
Užsirašykite visus tris prieš liesdami bet kokią konfigūraciją, nes du iš jų gyvena skirtingose sistemose.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Katalogo grupė yra tai, ką vertina jūsų RADIUS politika. Grąžintas atributas yra reikšmė Access-Accept atsakymo viduje. Vietinė FortiGate grupė yra konteineris, į kurį politika nurodo pavadinimu. Sumaišius bet kuriuos du iš jų gaunamas prisijungimas, kuris veikia, ir autorizacija, kuri neveikia.
Kur atitikimas iš tikrųjų atliekamas
Fortinet RADIUS grupių atitikimo paaiškinimas nurodo Fortinet-Group-Name kaip numatytąjį grupės atributą. FortiGate lygina sukonfigūruotą nuotolinį serverį ir grupės pavadinimo reikšmę su tuo, ką neša atsakymas, tai reiškia, kad palyginimas atliekamas su grąžinta eilute, o ne su vietinės grupės rodomu pavadinimu.
Štai kodėl vietinė grupė pavadinimu VPN-Engineering gali stovėti šalia grąžintos reikšmės vpn-engineering ir visiškai nieko neatitikti. Didžiosios ir mažosios raidės bei rašyba šiame palyginime nėra kosmetika. Pasirinkite vieną eilutę, naudokite ją atsakyme ir nurodykite tą pačią eilutę šliuzo atitikimo taisyklėje.
FortiAuthenticator grupė turi būti susieta su atributu ir įtraukta į atitinkamą RADIUS paslaugos politiką, įjungus grupės atributo grąžinimo valdymą, kai tai taikoma.
Atsakymas gali pavykti ir be atributo
NPS ar kitam RADIUS serveriui politikoje priverstinai taikykite katalogo grupės sąlygą, tada sukonfigūruokite palaikomą atsakymo atributą. Sėkmingas slaptažodžio patikrinimas pats savaime sukuria Access-Accept, ir Access-Accept be grupės eilutės yra visiškai galiojantis atsakymas, kuris FortiGate pusėje nieko neautorizuoja. Tai dažniausia problemos forma.
Apibrėžti grupę nėra tas pats, kas ją išsiųsti. Tai du konfigūravimo žingsniai dviejuose skirtinguose ekranuose, ir dažniausiai atliekamas tik vienas iš jų.
Kodėl atitikimas su Any yra spąstai
Any nuotolinės grupės atitikimas yra teisėtas dizainas, kai RADIUS serveris jau priima būtent tą populiaciją, kurios norite. Pasirinkite tą delegavimą sąmoningai. Išplėtus atitikimą, kad dingtų trūkstamas atributas, priimama kiekviena paskyra, kurią RADIUS serveris atsitiktinai priima, įskaitant tas, kurioms VPN prieiga niekada nebuvo numatyta. Simptomas dingsta, o prieigos kontrolė tyliai nustoja egzistuoti.
Jei negalite įvardyti, ką RADIUS serveris turėtų priimti, nesate pasirengę Any atitikimui.
Laikykite keturis įrašus palaikymui
Kai vis tiek neveikia, surinkite keturis dalykus: pasirinktą RADIUS politiką, faktiškai grąžintą grupės atributą, FortiGate serverį ir reikšmę, su kuria jis buvo lyginamas, ir gautą vietinę grupę. Šie keturi įrašai nustato lūžio vietą neatskleidžiant slaptažodžių ir nekeičiant grupės narystės, kad pamatytumėte, kas nutiks.
Išbandykite vieną autorizuotą ir vieną už apimties ribų esančią paskyrą pagal tikrąją taisyklę ir patikrinkite gautą politiką bei prieigą prie išteklių, taip pat autentifikacijos rezultatą. Tik pora pasako, ar atitikimas daro tai, ką manote.