FortiGate VPN завршува во погрешна група: RADIUS совпаѓање

Најавувањето успева, тунелот се крева, а корисникот завршува на погрешна политика или на никаква политика. Ништо во дневникот на FortiGate не објавува дека групата недостасувала, бидејќи од негова страна автентикацијата работеше, а совпаѓањето на групата едноставно не се активираше. Синџирот што треба да го проверите содржи три одделни имиња и тие обично не се истата низа.

Три имиња со три задачи

Запишете ги сите три пред да допрете каква и да е конфигурација, бидејќи две од нив живеат во различни системи.

Групата во директориумот е она што вашата RADIUS политика го оценува. Вратениот атрибут е вредност внатре во одговорот Access-Accept. Локалната група на FortiGate е контејнер на кој политиката се повикува по име. Мешањето на кои и да се две од нив дава најава што работи и авторизација што не работи.

Каде всушност се прави совпаѓањето

Fortinet во своето објаснување за RADIUS совпаѓање на групи наведува Fortinet-Group-Name како стандарден атрибут на групата. FortiGate го споредува конфигурираниот оддалечен сервер и вредноста на името на групата со она што го носи одговорот, што значи дека споредбата е со вратената низа, а не со приказната ознака на вашата локална група.

Затоа локална група наречена VPN-Engineering може да стои покрај вратена вредност vpn-engineering и воопшто да не совпадне со ништо. Големите и малите букви и правописот не се козметика во оваа споредба. Изберете една низа, користете ја во одговорот и повикајте се на истата низа во правилото за совпаѓање на портата.

На FortiAuthenticator групата мора да биде поврзана со атрибутот и вклучена во соодветната RADIUS сервисна политика, со овозможена контрола за враќање на атрибутот на групата каде што е применливо.

Одговорот може да успее и без атрибутот

За NPS или друг RADIUS сервер, наметнете го условот за група од директориумот во политиката и потоа конфигурирајте го поддржаниот атрибут за одговор. Успешната проверка на лозинка сама по себе произведува Access-Accept и Access-Accept без низа за група е сосема валиден одговор што не авторизира ништо на страната на FortiGate. Ова е најчестата форма на проблемот.

Дефинирањето на група не е исто како нејзиното испраќање. Тоа се два чекори за конфигурација на два различни екрани и обично се прави само еден од нив.

Зошто совпаѓањето со Any е стапица

Совпаѓањето со оддалечена група Any е легитимен дизајн кога RADIUS серверот веќе ја прима токму популацијата што ја сакате. Изберете го тоа делегирање свесно. Проширувањето на совпаѓањето за да исчезне атрибут што недостасува прима секоја сметка што RADIUS серверот случајно ќе ја прифати, вклучително и тие што никогаш не требало да имаат пристап до VPN. Симптомот исчезнува и контролата на пристапот тивко престанува да постои.

Ако не можете да именувате кого треба да прими RADIUS серверот, не сте подготвени за совпаѓање со Any.

Чувајте четири записи за поддршка

Кога сѐ уште не работи, соберете четири работи: избраната RADIUS политика, атрибутот на групата што навистина бил вратен, серверот FortiGate и вредноста со која е спореден, и добиената локална група. Тие четири записи ја лоцираат пречката без откривање лозинки или менување на членството во групи за да се види што се случува.

Тестирајте една авторизирана и една сметка надвор од опсегот според вистинското правило и проверете ја добиената политика и пристапот до ресурси, како и резултатот од автентикацијата. Само парот ви кажува дали совпаѓањето го прави тоа што мислите.