FortiGate-VPN belandt in de verkeerde groep: RADIUS-matching
Fortinet-Group-Name wordt met het antwoord vergeleken, niet met uw lokale groepsnaam. Loop de drie namen na voordat u de match naar Any verbreedt.
De aanmelding slaagt, de tunnel komt op en de gebruiker belandt in het verkeerde beleid of in helemaal geen beleid. Niets in het FortiGate-log meldt dat de groep ontbrak, want van zijn kant werkte de authenticatie en de groepsmatch werd simpelweg niet geactiveerd. De keten die u moet onderzoeken bevat drie afzonderlijke namen, en dat is meestal niet dezelfde tekenreeks.
Drie namen met drie taken
Schrijf alle drie op voordat u welke configuratie dan ook aanraakt, want twee ervan leven op verschillende systemen.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
De directorygroep is wat uw RADIUS-beleid beoordeelt. Het teruggegeven attribuut is een waarde in het Access-Accept-antwoord. De lokale FortiGate-groep is een container waarnaar het beleid bij naam verwijst. Twee daarvan door elkaar halen levert een aanmelding op die werkt en een autorisatie die niet werkt.
Waar de match feitelijk plaatsvindt
Fortinets uitleg over RADIUS-groepsmatching noemt Fortinet-Group-Name als het standaardgroepsattribuut. FortiGate vergelijkt de geconfigureerde externe server en de groepsnaamwaarde met wat het antwoord bevat, wat betekent dat de vergelijking tegen de teruggegeven tekenreeks is, niet tegen de weergavenaam van uw lokale groep.
Daarom kan een lokale groep met de naam VPN-Engineering naast een teruggegeven waarde vpn-engineering staan en helemaal niets matchen. Hoofdletters en spelling zijn in deze vergelijking geen cosmetica. Kies één tekenreeks, gebruik die in het antwoord en verwijs naar dezelfde tekenreeks in de matchregel van de gateway.
Op FortiAuthenticator moet de groep aan het attribuut worden gekoppeld en in het bijbehorende RADIUS-servicebeleid worden opgenomen, met de retourcontrole van het groepsattribuut ingeschakeld waar van toepassing.
Het antwoord kan ook zonder het attribuut slagen
Voor NPS of een andere RADIUS-server: dwing de directorygroepvoorwaarde in het beleid af en configureer daarna het ondersteunde antwoordattribuut. Een geslaagde wachtwoordcontrole levert vanzelf een Access-Accept op, en een Access-Accept zonder groepstekenreeks is een volledig geldig antwoord dat aan de FortiGate-kant niets autoriseert. Dit is de meest voorkomende vorm van het probleem.
Een groep definiëren is niet hetzelfde als hem versturen. Dat zijn twee configuratiestappen op twee verschillende schermen, en meestal wordt er maar één gedaan.
Waarom matchen met Any een valkuil is
Een Any-matching van een externe groep is een legitiem ontwerp wanneer de RADIUS-server al precies de populatie toelaat die u wilt. Kies die delegatie bewust. De match verruimen om een ontbrekend attribuut te laten verdwijnen laat elk account toe dat de RADIUS-server toevallig accepteert, ook accounts die nooit VPN-toegang zouden krijgen. Het symptoom verdwijnt en de toegangscontrole houdt stil op te bestaan.
Als u niet kunt benoemen wie de RADIUS-server hoort toe te laten, bent u niet klaar voor een Any-match.
Bewaar vier registraties voor support
Als het nog steeds niet werkt, verzamel dan vier dingen: het gekozen RADIUS-beleid, het groepsattribuut dat daadwerkelijk is teruggegeven, de FortiGate-server en de waarde waarmee die is vergeleken, en de resulterende lokale groep. Die vier registraties lokaliseren de breuk zonder wachtwoorden bloot te leggen of groepslidmaatschap te wijzigen om te zien wat er gebeurt.
Test één geautoriseerd en één account buiten bereik onder de echte regel, en controleer het resulterende beleid en de resourcetoegang evenals het authenticatieresultaat. Alleen het paar vertelt u of de match doet wat u denkt.