Iż-żieda ta’ utent ma’ grupp VPN ma tagħtix aċċess waħedha
Sħubija fi grupp hija kundizzjoni waħda, mhux permess. Ara x’ verament qabbel il-gateway, aqra r-rekord ta’ aċċettazzjoni jew ċaħda, u ipprova ż-żewġ riżultati.
Il-kont jinsab fil-grupp it-tajjeb, id-dħul irnexxa, u l-konnessjoni għadha tiġi rrifjutata, jew tikkonnettja u ma tasal għal xejn utli. Ir-reazzjoni tas-soltu hija li żżid l-utent ma’ aktar gruppi sakemm xi ħaġa ċċedi, u hekk l-organizzazzjonijiet jagħtu ħafna aktar milli talab it-ticket. Sħubija fi grupp hija input wieħed għad-deċiżjoni ta’ awtorizzazzjoni, qatt id-deċiżjoni nnifisha: il-gateway jiġbor ftit fatti dwar is-sessjoni, iqabbilhom ma’ politika ordnata u mbagħad jiddeċiedi x’ tista’ tmiss is-sessjoni. Jekk falliet kundizzjoni oħra, il-bidla tal-grupp tbiddel biss l-espożizzjoni tiegħek.
Sħubija fi grupp hija kundizzjoni, mhux permess
F’ RADIUS il-grupp jiġi bħala attribut ta’ awtorizzazzjoni, u l-attributi jiddeskrivu s-sessjoni minflok ma jawtorizzawha. Is-server iwieġeb b’ Access-Accept jew Access-Reject; meta jaċċetta jista’ jżid Filter-Id, Class jew l-attributi tat-tunnel minn RFC 2868, u t-tagħmir tan-netwerk in-naħa l-oħra jinterpretahom kif iddeċieda l-manifattur. Xejn fil-protokoll ma jimmappa grupp għal aċċess sħiħ; dak il-mapping jiktbu min ikkonfigura l-politika fuq il-gateway jew is-server tal-aċċess tan-netwerk.
Għalhekk l-istess isem ta’ grupp iġib ruħu b’ mod differenti fuq żewġ sistemi. Microsoft NPS jiġbor politiki tan-netwerk minn kundizzjonijiet, restrizzjonijiet u settings u jevalwahom f’ ordni stabbilit. OpenVPN Access Server għandu l-mudell tiegħu ta’ gruppi u regoli ta’ aċċess, filwaqt li server OpenVPN tal-komunità spiss jgħaddi l-kwistjoni kollha lil script client-connect jew fajl client-config-dir.
Tiddeċiedi r-regola li qabblet, mhux il-grupp li stennejt
Il-biċċa l-kbira tal-magni jieqfu fl-ewwel politika li taqbel jew fl-aktar speċifika. Jekk il-politika 3 tiċħad u l-politika 7 tippermetti, is-sessjoni tista’ tfalli mingħajr ma tasal għar-regola li kienet tgħaddiha. L-ordni hija setting reali fuq NPS u ħafna prodotti ta’ kontroll tal-aċċess tan-netwerk.
Il-kundizzjonijiet li jmorru mal-grupp huma n-nofs l-ieħor: stat tat-tagħmir, metodu ta’ awtentikazzjoni, MFA kompluta, netwerk sors, suġġett taċ-ċertifikat jew tieqa ta’ ħin. Jekk waħda tonqos, il-politika ma taqbilx, il-magna taqa’ u tapplika ċ-ċaħda default. Mill-pożizzjoni tal-utent il-grupp jidher injorat; mill-pożizzjoni tal-magna l-grupp qatt ma ntalab.
Id-dettalji tad-directory joħolqu l-istess illusjoni. Politika fuq sħubija fi gruppi Windows taqra s-SIDs fit-token, u hemm jiġu elenkati biss gruppi ta’ sigurtà, grupp ta’ distribuzzjoni qatt ma jidher. Il-grupp primarju jinġarr fil-qasam tiegħu, mhux fil-lista, għalhekk politika marbuta miegħu tista’ tfalli bil-kwiet.
Aqra r-rekord ta’ aċċettazzjoni jew ċaħda qabel ma tmiss grupp
Staqsi l-ewwel ħaġa waħda: waslet it-talba għall-fażi tal-awtorizzazzjoni? Fuq NPS it-tweġiba tinsab fil-log tal-avvenimenti, fejn 6272 jirrekordja aċċess mogħti, 6273 ċaħda u 6274 talba li s-server tefa’ qabel ma evalwa l-politika. Dawk it-tliet numri jaqsmu l-problema fi tliet investigazzjonijiet, u waħda biss dwar gruppi.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Meta l-log ma jkunx aċċessibbli, staqsi lis-server direttament u aqra x’ irodd. Tweġiba mingħajr Filter-Id u mingħajr attributi tat-tunnel tfisser li s-server iqis is-sessjoni ordinarja u l-gateway japplika regoli tiegħu. Tweġiba b’ attributi li l-punt tal-infurzar ma jimplimentax hija difett ieħor: l-awtorizzazzjoni għaddiet u t-tagħmir injora r-riżultat.
radtest alice 'password' 10.0.0.5 0 testing123Qabbel l-attributi rritornati ma’ dawk dokumentati mill-gateway, mhux ma’ dak li jissuġġerixxi l-isem tal-grupp. Dak it-tqabbil normalment jifred problema ta’ politika minn problema ta’ infurzar.
Bidla fil-grupp mhijiex retroattiva
L-attributi ta’ awtorizzazzjoni jiġu rritornati darba, meta s-sessjoni tiġi awtentikata. Il-gateway iżommhom fuq is-sessjoni u ma jerġax jaqra d-directory għal kull pakkett, għalhekk sessjoni stabbilita tibqa’ taħdem wara li tneħħi lil xi ħadd mill-grupp.
Biex il-bidla tidħol fis-seħħ hemm bżonn deċiżjoni ġdida ta’ awtorizzazzjoni, mhux biss ċwievet ġodda. Fejn is-server jappoġġja RFC 5176, Disconnect-Request jew CoA-Request lejn UDP 3799 iġiegħel evalwazzjoni mill-ġdid; inkella aqta’ il-klijent u ħallih jerġa’ jikkonnettja. In-negozjati mill-ġdid iġeddu ċ-ċwievet tat-tunnel u normalment iħallu r-riżultat tal-awtorizzazzjoni.
Sewwi l-kundizzjoni, mhux il-grupp
Meta tkun taf liema politika taħdem, it-tiswija normalment tkun żgħira: erġa’ ordna ċaħda li tkopri l-permess mixtieq, żid il-kundizzjoni tat-tagħmir jew MFA li tonqos, jew ikteb regola dejqa għal dak ir-riżors wieħed minflok ma tippromwovi l-utent fi grupp li jġorr għaxar oħra.
Loop qasir iżomm il-bidla onesta:
- Irriproduċi ċ-ċaħda bil-kont oriġinali u noti l-ID tal-avveniment qabel ma tbiddel xejn.
- Biddel oġġett wieħed, ordni ta’ politiki, kundizzjoni waħda jew grupp wieħed, u noti liema.
- Iftaħ sessjoni ġdida, ikkonferma li l-permess jidher fil-log u li r-riżors verament jinfetaħ.
- Ittestja utent li għandu għad irid jiġi rrifjutat, biex it-tiswija ma tkabbritx il-politika.
Jekk il-permess huwa tajjeb u r-riżors xorta ma jinfetaħx, il-problema marret għar-routing jew is-soluzzjoni tal-ismijiet fil-mument li għaddiet l-awtorizzazzjoni. Żomm iż-żewġ difetti separati u t-ticket li jmiss jieħu minuti, mhux nofs jum.