Kāpēc RADIUS VLAN atbilde VPN lietotājam neko nedara

Jūs pievienojat VLAN atribūtu NPS politikai, VPN lietotājs piesakās, un klēpjdators joprojām nonāk noklusējuma pūlā. RADIUS serveris atgriež to, ko jūs prasījāt, tāpēc kļūme izskatās kā kešatmiņas problēma. Parasti tā nav. Access-Accept nes autorizācijas norādes, un tikai tīkla piekļuves serveris, kas tās saņēma, var vienu no tām pārvērst tīkla piešķīrumā.

Sāciet ar vārteju, nevis ar politiku

Izstaigājiet ķēdi no klienta uz iekšu, pirms kaut ko maināt. Klients lūdz vārtejai sesiju, vārteja jautā RADIUS, vai lietotājs to drīkst saņemt, un RADIUS atbild ar rezultātu un atribūtu kopu. Pēc tam vārteja piemēro to, ko prot piemērot.

Jūsu pārbaude sākas ceturtajā solī, tāpēc pirmie trīs izskatās veseli. Nekas apmaiņā neuzliek vārtejai pienākumu ieviest saņemto atribūtu. Atbilde ir pieprasījums vārtejai, nevis fakts par klientu.

Ko komutators dara un VPN nevar

802.1X piekļuves komutators ir autentifikators ar portiem, un dinamiskā VLAN piešķiršana pārvieto vienu no šiem portiem uz VLAN, ko komutators jau pārvada. RADIUS tuneļa atribūti apraksta šo nodomu komutatoram saprotamā formā. Maršrutēts VPN izbeidz tuneļus, nevis komutatora portus, un tā klienti parasti saņem adresi un maršrutu, nevis piederību apraides domēnam. Nav porta, ko pārvietot, tāpēc tam pašam atribūtam nav uz ko iedarboties.

Šī ir modeļa atšķirība, nevis piegādātāja kļūda. Dažas vārtejas pievieno savu grupas politiku, pūla izvēli vai filtrēšanas mehānismu, kas ekrānuzņēmumā izskatās līdzīgi. Citas neko no tā neievieš, un atribūts tiek reģistrēts un ignorēts. Lasiet dokumentāciju tam attālinātās piekļuves režīmam, kuru jūs patiešām ieslēdzāt, nevis tam, kas ir ekrānuzņēmumā.

Izlasiet atbildi, ko serveris patiešām nosūtīja

Apstipriniet, ko RADIUS atgrieza, nevis to, ko rāda politikas redaktors. Testa pieprasījums ar to pašu lietotājvārdu un zināmu paroli izdrukā atbildes atribūtus lasāmā formā, un tas vienā solī atrisina jautājumu.

radtest alice secret 10.0.0.10 0 testing123

Ja šajā atbildē trūkst VLAN atribūtu, vispirms izlabojiet politikas atbilstību. Ja tie ir, serveris ir izdarījis savu daļu, un trūkums ir lejpus.

Vispirms pierādiet sesijas politiku, tad sasniedzamību

Tagad aplūkojiet sesiju, ko vārteja izveidoja. Aktīvo sesiju saraksts rāda pūlu, piešķirto adresi un jebkuru grupas politiku, ko vārteja pievienoja, un tas ir vienīgais pierādījums, kam ir nozīme izpildē. Salīdziniet to ar to, ko lietotājs var sasniegt, nevis ar to, ko politika bija iecerējusi.

swanctl --list-sas

Pēc tam no klienta pārbaudiet vienu atļautu un vienu aizliegtu resursu, jo adrese no pareizā pūla nepierāda izolāciju. Ja vārtejai nav mehānisma vēlamajam piešķīrumam, vairāk atribūta kopiju to neizveidos. Adrese no gaidītā pūla var pastāvēt līdzās pilnīgai piekļuvei katram citam pūlam. Izvēlieties atbalstītu politikas mehānismu vai apzināti mainiet tīkla dizainu.