FortiGate VPN nonāk nepareizajā grupā: RADIUS atbilsme

Pieteikšanās izdodas, tunelis paceļas, un lietotājs nonāk nepareizajā politikā vai vispār nevienā politikā. Nekas FortiGate žurnālā nepaziņo, ka grupa trūka, jo no tās puses autentifikācija darbojās un grupas atbilsme vienkārši neiedarbojās. Ķēdē, kas jāpārbauda, ir trīs atsevišķi nosaukumi, un parasti tie nav viena un tā pati virkne.

Trīs nosaukumi ar trim uzdevumiem

Pierakstiet visus trīs pirms jebkuras konfigurācijas aizskaršanas, jo divi no tiem dzīvo dažādās sistēmās.

Direktorija grupa ir tas, ko vērtē jūsu RADIUS politika. Atgrieztais atribūts ir vērtība Access-Accept atbildes iekšienē. FortiGate vietējā grupa ir konteiners, uz kuru politika atsaucas pēc nosaukuma. Jebkuru divu no tiem sajaukšana rada pieteikšanos, kas darbojas, un autorizāciju, kas nedarbojas.

Kur atbilsme faktiski notiek

Fortinet RADIUS grupu atbilsmes skaidrojums norāda Fortinet-Group-Name kā noklusējuma grupas atribūtu. FortiGate salīdzina konfigurēto attālo serveri un grupas nosaukuma vērtību ar to, ko nes atbilde, kas nozīmē, ka salīdzinājums ir pret atgriezto virkni, nevis pret jūsu vietējās grupas attēojamo apzīmējumu.

Tāpēc vietējā grupa ar nosaukumu VPN-Engineering var stāvēt blakus atgrieztai vērtībai vpn-engineering un nesaskanēt ar neko. Lielie un mazie burti un pareizrakstība šajā salīdzinājumā nav kosmētika. Izvēlieties vienu virkni, izmantojiet to atbildē un atsaucieties uz to pašu virkni vārtejas atbilsmes noteikumā.

FortiAuthenticator grupai jābūt saistītai ar atribūtu un iekļautai atbilstošajā RADIUS pakalpojuma politikā, ar iespējotu grupas atribūta atgriešanas kontroli, kur tas piemērojams.

Atbilde var izdoties arī bez atribūta

NPS vai citam RADIUS serverim politikā piespiedu kārtā ieviesiet direktorija grupas nosacījumu un pēc tam konfigurējiet atbalstīto atbildes atribūtu. Veiksmīga paroles pārbaude pati rada Access-Accept, un Access-Accept bez grupas virknes ir pilnīgi derīga atbilde, kas FortiGate pusē neko neautorizē. Šī ir visbiežākā problēmas forma.

Grupas definēšana nav tas pats, kas tās nosūtīšana. Tie ir divi konfigurācijas soļi divos dažādos ekrānos, un parasti tiek veikts tikai viens no tiem.

Kāpēc atbilsme ar Any ir slazds

Any attālās grupas atbilsme ir likumīgs dizains, ja RADIUS serveris jau uzņem tieši to populāciju, kuru vēlaties. Izvēlieties šo deleģēšanu apzināti. Atbilsmes paplašināšana, lai pazustu trūkstošs atribūts, uzņem katru kontu, ko RADIUS serveris nejauši pieņem, tostarp tos, kuriem VPN piekļuve nekad nebija paredzēta. Simptoms pazūd, un piekļuves kontrole klusi pārstāj pastāvēt.

Ja nevarat nosaukt, ko RADIUS serverim vajadzētu uzņemt, jūs neesat gatavs Any atbilsmei.

Glabājiet četrus ierakstus atbalstam

Kad tas joprojām nedarbojas, savāciet četras lietas: izvēlēto RADIUS politiku, faktiski atgriezto grupas atribūtu, FortiGate serveri un vērtību, ar ko tas tika salīdzināts, un iegūto vietējo grupu. Šie četri ieraksti lokalizē lūzumu, neatsedzot paroles vai nemainot grupas dalību, lai redzētu, kas notiks.

Pārbaudiet vienu autorizētu un vienu ārpus tvēruma esošu kontu saskaņā ar īsto noteikumu un pārbaudiet iegūto politiku un piekļuvi resursiem, kā arī autentifikācijas rezultātu. Tikai pāris pasaka, vai atbilsme dara to, ko domājat.