Il-VPN tal-FortiGate tinżel fil-grupp ħażin: tqabbil RADIUS
Fortinet-Group-Name jiġi mqabbel mat-tweġiba, mhux mat-tikketta lokali tal-grupp tiegħek. Iċċekkja t-tliet ismijiet qabel ma twessa’ t-tqabbil għal Any.
Id-dħul jirnexxi, il-mina titla’, u l-utent jinżel fuq il-politika ħażina jew fuq ebda politika. Xejn fil-log tal-FortiGate ma jħabbar li l-grupp kien nieqes, għax min-naħa tiegħu l-awtentikazzjoni ħadmet u t-tqabbil tal-grupp sempliċement ma nqabbadx. Il-katina li trid teżamina fiha tliet ismijiet separati, u normalment mhumiex l-istess string.
Tliet ismijiet bi tliet kompiti
Ikteb it-tlieta qabel ma tmiss ebda konfigurazzjoni, għax tnejn minnhom jgħixu f’sistemi differenti.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Il-grupp tad-direttorju huwa dak li tevalwa l-politika RADIUS tiegħek. L-attribut imrobbut huwa valur ġewwa t-tweġiba Access-Accept. Il-grupp lokali tal-FortiGate huwa kontenitur li l-politika tirreferi għalih bl-isem. Li tħawwad tnejn minn dawn jipproduċi dħul li jaħdem u awtorizzazzjoni li ma taħdimx.
Fejn isir it-tqabbil fil-fatt
L- ispjegazzjoni tat-tqabbil tal-gruppi RADIUS tal-Fortinet tinnomina Fortinet-Group-Name bħala l-attribut default tal-grupp. Il-FortiGate iqabbel is-server remot konfigurat u l-valur tal-isem tal-grupp ma’ dak li ġġorr it-tweġiba, jiġifieri t-tqabbil isir mat-tipa mrobbta, mhux mat-tikketta murija tal-grupp lokali tiegħek.
Huwa għalhekk li grupp lokali msejjaħ VPN-Engineering jista’ joqgħod ħdejn valur imrobbut vpn-engineering u ma jaqbel ma’ xejn. L-ittri kbar u ż-żgħar u l-ortografija mhumiex kosmetiċi f’dan it-tqabbil. Agħżel string wieħed, użah fit-tweġiba, u irreferi għall-istess string fir-regola tat-tqabbil tal-gateway.
Fuq FortiAuthenticator il-grupp irid ikun assoċjat mal-attribut u inkluż fil-politika tas-servizz RADIUS li taqbel, bil-kontroll tar-ritorn tal-attribut tal-grupp attivat fejn japplika.
It-tweġiba tista’ tirnexxi mingħajr l-attribut
Għal NPS jew server RADIUS ieħor, iġġiegħel il-kundizzjoni tal-grupp tad-direttorju fil-politika u mbagħad ikkonfigura l-attribut tat-tweġiba appoġġjat. Verifika tal-password li tirnexxi tipproduċi Access-Accept waħedha, u Access-Accept mingħajr string tal-grupp hija tweġiba valida għalkollox li ma tawtorizza xejn fuq in-naħa tal-FortiGate. Din hija l-aktar forma komuni tal-problema.
Li tiddefinixxi grupp mhix l-istess bħal li tibgħathu. Dawn huma żewġ passi ta’ konfigurazzjoni fuq żewġ skrins differenti, u normalment isir biss wieħed minnhom.
Għaliex it-tqabbil ma’ Any huwa nassa
Tqabbil ta’ grupp remot Any huwa disinn leġittimu meta s-server RADIUS diġà jammetti eżattament il-popolazzjoni li trid. Agħżel dik id-delegazzjoni b’mod deliberat. It-twessigħ tat-tqabbil biex jgħib attribut nieqes jammetti kull kont li s-server RADIUS jaċċetta, inklużi dawk li qatt ma kellhom ikollhom aċċess għall-VPN. Is-sintomu jgħib u l-kontroll tal-aċċess jieqaf jeżisti fis-skiet.
Jekk ma tistax issemmi min suppost jammetti s-server RADIUS, m’intix lest għal tqabbil Any.
Żomm erba’ rekords għall-appoġġ
Meta xorta ma jaħdimx, iġbor erba’ affarijiet: il-politika RADIUS li ntgħażlet, l-attribut tal-grupp li fil-fatt ġie mrobbut, is-server FortiGate u l-valur li miegħu tqabbel, u l-grupp lokali li rriżulta. Dawk l-erba’ rekords jindividwaw il-qasma mingħajr ma jiżvelaw passwords jew ibiddlu s-sħubija tal-gruppi biex jaraw x’jiġri.
Ittestja kont awtorizzat u kont ieħor barra mill-ambitu taħt ir-regola vera, u ċċekkja l-politika u l-aċċess għar-riżorsi li jirriżultaw kif ukoll ir-riżultat tal-awtentikazzjoni. Il-par biss jgħidlek jekk it-tqabbil qed jagħmel dak li taħseb.