Kodėl RADIUS VLAN atsakymas nieko neduoda VPN naudotojui

Pridedate VLAN atributą prie NPS politikos, VPN naudotojas prisijungia, o nešiojamasis kompiuteris vis tiek patenka į numatytąjį telkinį. RADIUS serveris grąžina tai, ko prašėte, dėl to gedimas atrodo kaip podėlio problema. Paprastai taip nėra. Access-Accept neša autorizacijos užuominas, ir tik jas gavęs tinklo prieigos serveris gali vieną paversti tinklo priskyrimu.

Pradėkite nuo sietuvo, o ne nuo politikos

Pereikite grandinę nuo kliento į vidų prieš ką nors keisdami. Klientas prašo sesijos iš tinklų sietuvo, sietuvas klausia RADIUS, ar naudotojas gali ją gauti, o RADIUS atsako rezultatu ir atributų rinkiniu. Tada sietuvas pritaiko tai, ką moka pritaikyti.

Jūsų patikra prasideda nuo ketvirto žingsnio, todėl pirmieji trys atrodo sveiki. Niekas mainuose neįpareigoja sietuvo įgyvendinti gauto atributo. Atsakymas yra prašymas sietuvui, o ne faktas apie klientą.

Ką komutatorius daro, ko VPN negali

802.1X prieigos komutatorius yra autentifikatorius su prievadais, o dinaminis VLAN priskyrimas perkelia vieną iš tų prievadų į VLAN, kurį komutatorius jau perduoda. RADIUS tunelio atributai apibūdina tą ketinimą komutatoriui suprantama forma. Maršrutizuotas VPN užbaigia tunelius, o ne komutatoriaus prievadus, ir jo klientai paprastai gauna adresą ir maršrutą, o ne narystę transliacijos domene. Nėra prievado, kurį perkelti, todėl tas pats atributas neturi ko paveikti.

Tai modelio skirtumas, o ne tiekėjo klaida. Kai kurie sietuvai prideda savo grupės politiką, telkinio pasirinkimą ar filtravimo mechanizmą, kuris ekrano kopijoje atrodo panašiai. Kiti nieko to neįgyvendina, o atributas įrašomas ir ignoruojamas. Skaitykite dokumentaciją tam nuotolinės prieigos režimui, kurį iš tikrųjų įjungėte, o ne tam, kuris yra ekrano kopijoje.

Perskaitykite atsakymą, kurį serveris iš tikrųjų išsiuntė

Patvirtinkite, ką grąžino RADIUS, o ne tai, ką rodo politikos redaktorius. Bandomoji užklausa su tuo pačiu naudotojo vardu ir žinomu slaptažodžiu atspausdina atsakymo atributus įskaitoma forma, ir tai išsprendžia klausimą vienu žingsniu.

radtest alice secret 10.0.0.10 0 testing123

Jei to atsakymo VLAN atributų nėra, pirmiausia pataisykite politikos atitikimą. Jei jie yra, serveris atliko savo dalį, o spraga yra toliau.

Pirmiausia įrodykite sesijos politiką, tada pasiekiamumą

Dabar pažiūrėkite į sesiją, kurią sukūrė sietuvas. Aktyvių sesijų sąrašas rodo telkinį, priskirtą adresą ir bet kokią grupės politiką, kurią sietuvas pridėjo, ir tai vienintelis įrodymas, kuris svarbus vykdymui. Palyginkite tai su tuo, ką naudotojas gali pasiekti, o ne su tuo, ką politika numatė.

swanctl --list-sas

Tada iš kliento patikrinkite vieną leistiną ir vieną uždraustą išteklių, nes adresas iš teisingo telkinio neįrodo izoliacijos. Jei sietuvas neturi mechanizmo norimam priskyrimui, daugiau atributo kopijų jo nesukurs. Adresas iš laukiamo telkinio gali egzistuoti kartu su visiška prieiga prie kiekvieno kito telkinio. Pasirinkite palaikomą politikos mechanizmą arba sąmoningai pakeiskite tinklo dizainą.