Mengapa balasan RADIUS VLAN tidak melakukan apa-apa untuk pengguna VPN

Anda menambah atribut VLAN pada dasar NPS, pengguna VPN menyambung, dan komputer riba masih mendarat di kumpulan lalai. Pelayan RADIUS mengembalikan apa yang anda minta, jadi kegagalan itu kelihatan seperti masalah cache. Biasanya bukan. Access-Accept membawa petunjuk kebenaran, dan hanya pelayan akses rangkaian yang menerimanya boleh mengubahnya menjadi peruntukan rangkaian.

Mulakan dari get laluan, bukan dari dasar

Jejaki rantaian dari klien ke dalam sebelum mengubah apa-apa. Klien meminta sesi daripada get laluan, get laluan bertanya kepada RADIUS sama ada pengguna boleh mendapatkannya, dan RADIUS menjawab dengan hasil dan satu set atribut. Get laluan kemudian menggunakan apa yang diketahuinya cara menggunakan.

Penelusuran anda bermula pada langkah keempat, itulah sebabnya tiga langkah pertama kelihatan sihat. Tiada apa dalam pertukaran itu mewajibkan get laluan melaksanakan atribut yang diterimanya. Balasan ialah permintaan kepada get laluan, bukan fakta tentang klien.

Apa yang suis lakukan dan VPN tidak boleh

Suis akses 802.1X ialah pengesah dengan port, dan peruntukan VLAN dinamik memindahkan salah satu port itu ke VLAN yang sudah dibawa suis. Atribut terowong RADIUS menerangkan maksud itu dalam bentuk yang difahami suis. VPN yang dilencongkan menamatkan terowong, bukan port suis, dan kliennya biasanya menerima alamat dan laluan dan bukannya keahlian domain siaran. Tiada port untuk dipindahkan, jadi atribut yang sama tiada sasaran untuk bertindak.

Ini perbezaan model, bukan pepijat vendor. Sesetengah get laluan menambah dasar kumpulan mereka sendiri, pemilihan kumpulan atau mekanisme penapis yang kelihatan serupa dalam tangkapan skrin. Yang lain tidak melaksanakan satu pun, dan atribut itu direkod lalu diabaikan. Baca dokumentasi untuk mod akses jauh yang benar-benar anda dayakan, bukan yang ada dalam tangkapan skrin.

Baca balasan yang sebenarnya dihantar pelayan

Sahkan apa yang dikembalikan RADIUS dan bukan apa yang dipaparkan editor dasar. Permintaan ujian dengan nama pengguna yang sama dan kata laluan yang diketahui mencetak atribut balasan dalam bentuk yang boleh dibaca, dan itu menyelesaikan persoalan dalam satu langkah.

radtest alice secret 10.0.0.10 0 testing123

Jika atribut VLAN tiada dalam balasan itu, betulkan padanan dasar dahulu. Jika ada, pelayan telah melakukan bahagiannya dan jurangnya di hilir.

Buktikan dasar sesi dahulu, kemudian kebolehcapaian

Sekarang lihat sesi yang dibina get laluan. Senarai sesi aktif menunjukkan kumpulan, alamat yang diberikan dan mana-mana dasar kumpulan yang dilampirkan get laluan, dan itulah satu-satunya bukti yang penting untuk penguatkuasaan. Bandingkan dengan apa yang boleh dicapai pengguna, bukan dengan apa yang dimaksudkan dasar.

swanctl --list-sas

Kemudian uji dari klien satu sumber yang dibenarkan dan satu yang ditolak, kerana alamat daripada kumpulan yang betul tidak membuktikan pengasingan. Jika get laluan tiada mekanisme untuk peruntukan yang anda mahu, lebih banyak salinan atribut tidak akan menciptanya. Alamat daripada kumpulan yang dijangka boleh wujud bersama akses penuh ke setiap kumpulan lain. Pilih mekanisme dasar yang disokong atau ubah reka bentuk rangkaian dengan sengaja.