FortiGate VPN गलत समूहमा पर्छ: RADIUS मिलान
Fortinet-Group-Name उत्तरसँग मिलाइन्छ, तपाईंको स्थानीय समूह लेबलसँग होइन। मिलानलाई Any सम्म फराकिलो बनाउनु अघि तीनवटा नाम जाँच्नुहोस्।
लगइन सफल हुन्छ, टनेल माथि आउँछ, र प्रयोगकर्ता गलत नीति वा कुनै नीतिमै पर्दैन। FortiGate लगमा समूह हराएको कुरा केहीले जनाउँदैन, किनभने उसको तर्फबाट प्रमाणीकरण चल्यो र समूह मिलान मात्र सक्रिय भएन। जाँच्नुपर्ने शृंखलामा तीनवटा छुट्टै नाम छन्, र ती सामान्यतया एउटै स्ट्रिङ हुँदैनन्।
तीन काम भएका तीन नाम
कुनै पनि कन्फिगरेसन छुनुअघि तीनवटै लेख्नुहोस्, किनभने तीमध्ये दुई फरक प्रणालीमा बस्छन्।
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
डाइरेक्टरी समूह भनेको तपाईंको RADIUS नीतिले मूल्याङ्कन गर्ने कुरा हो। फर्काइएको एट्रिब्युट Access-Accept उत्तरभित्रको मान हो। FortiGate स्थानीय समूह भनेको नीतिले नामबाट सन्दर्भ गर्ने कन्टेनर हो। यीमध्ये जुनसुकै दुई मिसाउँदा लगइन चल्ने र अधिकार नचल्ने अवस्था बन्छ।
मिलान वास्तवमा कहाँ हुन्छ
Fortinet को RADIUS समूह मिलानको व्याख्या भन्छ कि Fortinet-Group-Name डिफल्ट समूह एट्रिब्युट हो। FortiGate ले कन्फिगर गरिएको टाढाको सर्भर र समूह-नामको मानलाई उत्तरले बोकेको कुरासँग तुलना गर्छ, अर्थात् तुलना फर्काइएको स्ट्रिङसँग हुन्छ, तपाईंको स्थानीय समूहको देखाइने लेबलसँग होइन।
त्यसैले VPN-Engineering नामको स्थानीय समूह vpn-engineering को रूपमा फर्काइएको मानको छेउमा बस्न सक्छ र केही पनि मिलाउँदैन। यो तुलनामा केस र हिज्जे सजावट होइन। एउटा स्ट्रिङ छान्नुहोस्, त्यसलाई उत्तरमा प्रयोग गर्नुहोस्, र गेटवेको मिलान नियममा त्यही स्ट्रिङलाई सन्दर्भ गर्नुहोस्।
FortiAuthenticator मा समूह एट्रिब्युटसँग जोडिनुपर्छ र सम्बन्धित RADIUS सेवा नीतिमा समावेश गर्नुपर्छ, लागू हुने ठाउँमा समूह-एट्रिब्युट फर्काउने नियन्त्रण सक्षम राखेर।
एट्रिब्युट बिना पनि उत्तर सफल हुन सक्छ
NPS वा अन्य RADIUS सर्भरका लागि, नीतिमा डाइरेक्टरी-समूह सर्त लागू गर्नुहोस् र त्यसपछि समर्थित उत्तर एट्रिब्युट कन्फिगर गर्नुहोस्। सफल पासवर्ड जाँचले आफैंमा Access-Accept बनाउँछ, र समूह स्ट्रिङ बिनाको Access-Accept पूर्ण रूपमा वैध उत्तर हो जसले FortiGate तर्फ केही पनि अधिकृत गर्दैन. यो समस्याको सबैभन्दा सामान्य रूप हो।
समूह परिभाषित गर्नु र पठाउनु एउटै होइन। यी दुई फरक स्क्रिनमा दुई कन्फिगरेसन चरण हुन्, र सामान्यतया तीमध्ये एउटा मात्र गरिन्छ।
Any सँग मिलाउनु जाल किन हो
Any टाढाको-समूह मिलान वैध डिजाइन हो जब RADIUS सर्भरले पहिले नै तपाईंले चाहेको जनसंख्यालाई स्वीकार्छ। त्यो प्रतिनिधित्व जानाजान छान्नुहोस्। हराएको एट्रिब्युट हटाउन मिलान फराकिलो बनाउँदा RADIUS सर्भरले स्वीकार गर्ने जुनसुकै खाता पनि भित्र पस्छ, जसलाई कहिल्यै VPN पहुँचको सोच थिएन तिनीहरू पनि। लक्षण हराउँछ र पहुँच नियन्त्रण चुपचाप अस्तित्वमा रहन छोड्छ।
RADIUS सर्भरले कसलाई स्वीकार गर्नुपर्ने हो नाम लिन सक्नुहुन्न भने, Any मिलानका लागि तपाईं तयार हुनुहुन्न।
समर्थनका लागि चार अभिलेख राख्नुहोस्
अझै चलेन भने, चार कुरा जम्मा गर्नुहोस्: छानिएको RADIUS नीति, वास्तवमा फर्काइएको समूह एट्रिब्युट, मिलाइएको FortiGate सर्भर र मान, र परिणामस्वरूप बनेको स्थानीय समूह। यी चार अभिलेखले पासवर्ड खुलाउनु वा के हुन्छ देख्न समूह सदस्यता बदल्नु बिना नै भाँचिएको ठाउँ पत्ता लगाउँछन्।
वास्तविक नियमअन्तर्गत एउटा अधिकृत र एउटा दायराबाहिरको खाता जाँच्नुहोस्, र प्रमाणीकरणको नतिजासँगै परिणामस्वरूप बनेको नीति र स्रोत पहुँच पनि जाँच्नुहोस्। यही जोडीले मात्र मिलान तपाईंले सोचेअनुसार चलिरहेको छ कि छैन भन्छ।