VPN FortiGate mendarat dalam kumpulan salah: padanan RADIUS

Log masuk berjaya, terowong naik, dan pengguna mendarat pada dasar yang salah atau tiada dasar langsung. Tiada apa pun dalam log FortiGate mengumumkan bahawa kumpulan itu tiada, kerana dari sisinya pengesahan berfungsi dan padanan kumpulan langsung tidak tercetus. Rantaian yang perlu anda periksa mengandungi tiga nama berasingan, dan biasanya ketiga-tiganya bukan rentetan yang sama.

Tiga nama dengan tiga tugas

Tulis ketiga-tiganya sebelum menyentuh sebarang konfigurasi, kerana dua daripadanya tinggal dalam sistem yang berbeza.

Kumpulan direktori ialah apa yang dinilai oleh dasar RADIUS anda. Atribut yang dipulangkan ialah nilai di dalam balasan Access-Accept. Kumpulan tempatan FortiGate ialah bekas yang dirujuk oleh dasar mengikut nama. Mengelirukan mana-mana dua daripadanya menghasilkan log masuk yang berfungsi dan kebenaran yang tidak berfungsi.

Di mana padanan sebenarnya dibuat

Penjelasan padanan kumpulan RADIUS oleh Fortinet menyebut Fortinet-Group-Name sebagai atribut kumpulan lalai. FortiGate membandingkan pelayan jauh yang dikonfigurasikan dan nilai nama kumpulan dengan apa yang dibawa balasan, bermakna perbandingan dibuat terhadap rentetan yang dipulangkan, bukan terhadap label paparan kumpulan tempatan anda.

Itulah sebabnya kumpulan tempatan bernama VPN-Engineering boleh duduk di sebelah nilai yang dipulangkan vpn-engineering dan tidak sepadan dengan apa-apa. Huruf besar kecil dan ejaan bukan kosmetik dalam perbandingan ini. Pilih satu rentetan, gunakannya dalam balasan, dan rujuk rentetan yang sama dalam peraturan padanan gerbang.

Pada FortiAuthenticator kumpulan itu mesti dikaitkan dengan atribut dan dimasukkan ke dalam dasar perkhidmatan RADIUS yang sepadan, dengan kawalan pemulangan atribut kumpulan diaktifkan di mana berkenaan.

Balasan boleh berjaya tanpa atribut itu

Untuk NPS atau pelayan RADIUS lain, kuatkuasakan syarat kumpulan direktori dalam dasar dan kemudian konfigurasikan atribut balasan yang disokong. Semakan kata laluan yang berjaya menghasilkan Access-Accept dengan sendirinya, dan Access-Accept tanpa rentetan kumpulan ialah balasan yang sah sepenuhnya yang tidak membenarkan apa-apa di pihak FortiGate. Inilah bentuk masalah yang paling biasa.

Menentukan kumpulan tidak sama dengan menghantarnya. Itu dua langkah konfigurasi pada dua skrin berbeza, dan biasanya hanya satu daripadanya dilakukan.

Mengapa memadankan dengan Any ialah perangkap

Padanan kumpulan jauh Any ialah reka bentuk yang sah apabila pelayan RADIUS sudah menerima tepat populasi yang anda mahu. Pilih delegasi itu dengan sengaja. Meluaskan padanan untuk menghilangkan atribut yang hilang menerima setiap akaun yang diterima oleh pelayan RADIUS, termasuk yang tidak pernah bertujuan mendapat akses VPN. Gejala hilang dan kawalan akses diam-diam berhenti wujud.

Jika anda tidak boleh menamakan siapa yang sepatutnya diterima oleh pelayan RADIUS, anda belum bersedia untuk padanan Any.

Simpan empat rekod untuk sokongan

Apabila ia masih tidak berfungsi, kumpulkan empat perkara: dasar RADIUS yang dipilih, atribut kumpulan yang benar-benar dipulangkan, pelayan FortiGate dan nilai yang dipadankan dengannya, dan kumpulan tempatan yang terhasil. Empat rekod itu mencari titik putus tanpa mendedahkan kata laluan atau menukar keahlian kumpulan untuk melihat apa yang berlaku.

Uji satu akaun yang dibenarkan dan satu akaun di luar skop di bawah peraturan sebenar, dan semak dasar serta akses sumber yang terhasil serta hasil pengesahan. Hanya pasangan itu memberitahu anda sama ada padanan melakukan apa yang anda fikirkan.