Зошто одговорот на RADIUS за VLAN не прави ништо за корисник на VPN

Додавате атрибут VLAN на политиката NPS, корисникот на VPN се поврзува, а преносниот компјутер сепак завршува во стандардниот базен. Серверот RADIUS враќа што побаравте, поради што дефектот изгледа како проблем со кешот. Обично не е. Access-Accept носи навестувања за авторизација, и само серверот за мрежен пристап што ги примил може едно да го претвори во мрежно доделување.

Започнете од портата, не од политиката

Проследете го синџирот од клиентот навнатре пред да промените нешто. Клиентот бара сесија од портата, портата го прашува RADIUS дали корисникот смее да ја добие, а RADIUS одговара со резултат и множество атрибути. Потоа портата применува што знае да примени.

Вашата проверка започнува од четвртиот чекор, затоа првите три изгледаат здрави. Ништо во размената не ја обврзува портата да примени добиен атрибут. Одговорот е барање до портата, не факт за клиентот.

Што прави прекинувачот, а VPN не може

Прекинувачот за пристап 802.1X е автентикатор со порти, и динамичкото доделување VLAN преместува една од тие порти во VLAN што прекинувачот веќе го носи. Атрибутите на тунелот RADIUS ја опишуваат таа намера во форма што прекинувачот ја разбира. Рутираниот VPN завршува тунели, не прекинувачки порти, и неговите клиенти обично добиваат адреса и рута наместо членство во домен за емитување. Нема порта за преместување, па истиот атрибут нема на што да делува.

Ова е разлика во моделот, не грешка на добавувачот. Некои порти додаваат своја групна политика, избор на базен или механизам за филтрирање што на слика од екран изгледа слично. Други не применуваат ништо од тоа, и атрибутот се запишува и игнорира. Читајте ја документацијата за режимот на далечински пристап што навистина сте го вклучиле, не за тој од сликата.

Прочитајте го одговорот што серверот навистина го испратил

Потврдете што вратил RADIUS, а не што прикажува уредувачот на политики. Тест барање со истото корисничко име и позната лозинка ги печати атрибутите на одговорот во читлива форма, и тоа го решава прашањето во еден чекор.

radtest alice secret 10.0.0.10 0 testing123

Ако атрибутите VLAN недостасуваат од тој одговор, прво поправете го совпаѓањето на политиката. Ако се присутни, серверот го завршил својот дел, а празнината е подолу.

Прво докажете ја политиката на сесијата, потоа достапноста

Сега погледнете ја сесијата што ја изградила портата. Списокот на активни сесии го покажува базенот, доделената адреса и секоја групна политика што портата ја прикачила, и тоа е единствениот доказ што е важен за спроведувањето. Споредете го со тоа до што корисникот може да дојде, а не со тоа што политиката имала намера.

swanctl --list-sas

Потоа од клиентот тестирајте еден дозволен и еден забранет ресурс, бидејќи адреса од вистинскиот базен не докажува изолација. Ако портата нема механизам за саканото доделување, повеќе копии од атрибутот нема да создадат едно. Адреса од очекуваниот базен може да постои заедно со целосен пристап до секој друг базен. Изберете поддржан механизам на политика или намерно сменете го дизајнот на мрежата.