FortiGate VPN चुकीच्या गटात जाते: RADIUS जुळणी
Fortinet-Group-Name उत्तराशी जुळवले जाते, तुमच्या स्थानिक गट लेबलाशी नाही. जुळणी Any पर्यंत वाढवण्यापूर्वी तीन नावे तपासा.
लॉगिन यशस्वी होते, टनेल वर येते, आणि वापरकर्ता चुकीच्या धोरणावर किंवा कोणत्याही धोरणावर न पोहोचता राहतो. FortiGate लॉगमध्ये गट गहाळ होता हे काहीही जाहीर करत नाही, कारण त्याच्या बाजूने प्रमाणीकरण चालले आणि गट जुळणी फक्त सक्रिय झाली नाही. तपासायच्या साखळीत तीन वेगळी नावे आहेत, आणि ती सहसा एकच स्ट्रिंग नसतात.
तीन कामे असलेली तीन नावे
कोणत्याही कॉन्फिगरेशनला हात लावण्यापूर्वी तिन्ही लिहून ठेवा, कारण त्यातील दोन वेगळ्या प्रणालींमध्ये राहतात.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
डिरेक्टरी गट म्हणजे तुमचे RADIUS धोरण मूल्यांकन करते ते. परत दिलेले गुणधर्म हे Access-Accept उत्तरातील मूल्य आहे. FortiGate स्थानिक गट हा धोरण नावाने संदर्भ देते असा कंटेनर आहे. यापैकी कोणतेही दोन गोंधळल्यास लॉगिन चालते आणि अधिकृतता चालत नाही.
जुळणी प्रत्यक्षात कुठे होते
Fortinet चे RADIUS गट जुळणीचे स्पष्टीकरण सांगते की Fortinet-Group-Name डीफॉल्ट गट गुणधर्म आहे. FortiGate कॉन्फिगर केलेला दूरस्थ सर्व्हर आणि गट-नावाचे मूल्य उत्तरात जे आहे त्याशी तुलना करते, म्हणजे तुलना परत दिलेल्या स्ट्रिंगशी होते, तुमच्या स्थानिक गटाच्या दर्शविल्या जाणाऱ्या लेबलाशी नाही.
म्हणूनच VPN-Engineering नावाचा स्थानिक गट vpn-engineering म्हणून परत दिलेल्या मूल्याच्या शेजारी बसू शकतो आणि काहीही जुळवू शकत नाही. या तुलनेत केस आणि शुद्धलेखन सौंदर्य नाही. एक स्ट्रिंग निवडा, ती उत्तरात वापरा, आणि गेटवेच्या जुळणी नियमात त्याच स्ट्रिंगचा संदर्भ द्या.
FortiAuthenticator वर गट गुणधर्माशी जोडावा लागतो आणि संबंधित RADIUS सेवा धोरणात समाविष्ट करावा लागतो, लागू असेल तिथे गट-गुणधर्म परतावा नियंत्रण सक्षम ठेवून.
गुणधर्माशिवायही उत्तर यशस्वी होऊ शकते
NPS किंवा इतर RADIUS सर्व्हरसाठी, धोरणात डिरेक्टरी-गट अट लागू करा आणि नंतर समर्थित उत्तर गुणधर्म कॉन्फिगर करा. यशस्वी पासवर्ड तपासणी स्वतःच एक Access-Accept तयार करते, आणि गट स्ट्रिंगशिवाय Access-Accept हे पूर्णपणे वैध उत्तर आहे जे FortiGate बाजूला काहीही अधिकृत करत नाही. समस्येचा हा सर्वात सामान्य प्रकार आहे.
गट परिभाषित करणे आणि तो पाठवणे सारखे नाही. हे दोन वेगळ्या स्क्रीनवरील दोन कॉन्फिगरेशन टप्पे आहेत, आणि सहसा त्यापैकी एकच केला जातो.
Any शी जुळवणे सापळा का आहे
Any दूरस्थ-गट जुळणी ही वैध रचना आहे जेव्हा RADIUS सर्व्हर आधीच तुम्हाला हवी असलेली लोकसंख्या स्वीकारतो. ते प्रतिनिधित्व जाणीवपूर्वक निवडा. गहाळ गुणधर्म दूर करण्यासाठी जुळणी वाढवल्यास RADIUS सर्व्हर जे कोणतेही खाते स्वीकारतो ते आत जाते, ज्यांना कधीही VPN प्रवेशाचा विचार नव्हता तेही. लक्षण नाहीसे होते आणि प्रवेश नियंत्रण शांतपणे अस्तित्वात राहत नाही.
RADIUS सर्व्हरने कोणाला स्वीकारावे हे तुम्ही नावाने सांगू शकत नसाल, तर Any जुळणीसाठी तुम्ही तयार नाही.
समर्थनासाठी चार नोंदी ठेवा
ते अजूनही चालत नसेल, तर चार गोष्टी गोळा करा: निवडलेले RADIUS धोरण, प्रत्यक्षात परत दिलेला गट गुणधर्म, जुळवलेला FortiGate सर्व्हर आणि मूल्य, आणि त्यातून तयार झालेला स्थानिक गट. या चार नोंदी पासवर्ड उघड न करता आणि काय होते हे पाहण्यासाठी गट सदस्यत्व न बदलता तुटीचे स्थान शोधतात.
प्रत्यक्ष नियमाखाली एक अधिकृत आणि एक व्याप्तीबाहेरचे खाते तपासा, आणि प्रमाणीकरणाच्या निकालासह तयार झालेले धोरण आणि संसाधन प्रवेशही तपासा. ही जोडीच सांगते की जुळणी तुम्ही विचार करता तसे चालत आहे का.