FortiGate-VPN hamnar i feil gruppe: RADIUS-matching

Innlogginga lukkast, tunnelen kjem opp, og brukaren hamnar på feil policy eller ingen policy i det heile. Ingenting i FortiGate-loggen varslar at gruppa mangla, for frå si side verka autentiseringa og gruppematchinga vart rett og slett ikkje utløyst. Kjeda du må granske inneheld tre separate namn, og dei er vanlegvis ikkje same streng.

Tre namn med tre oppgåver

Skriv ned alle tre før du rører nokon konfigurasjon, for to av dei lever på ulike system.

Kataloggruppa er det RADIUS-policyen din vurderer. Den returnerte attributten er ein verdi inne i Access-Accept-svaret. Den lokale FortiGate-gruppa er ein behaldar som policyen viser til ved namn. Blandar du to av dei, får du ei innlogging som verkar og ein autorisasjon som ikkje verkar.

Kvar matchinga faktisk blir gjort

Fortinet si forklaring av RADIUS-gruppematching nemner Fortinet-Group-Name som standard gruppeattributt. FortiGate samanliknar den konfigurerte fjernserveren og gruppenamnverdien med det svaret inneheld, altså blir samanlikninga gjort mot den returnerte strengen, ikkje mot visingsnamnet til den lokale gruppa di.

Det er difor ei lokal gruppe kalla VPN-Engineering kan stå ved sida av ein returnert verdi vpn-engineering og ikkje matche noko som helst. Store og små bokstavar og staving er ikkje kosmetikk i denne samanlikninga. Vel éin streng, bruk han i svaret, og vis til same strengen i matchningsregelen til gatewayen.

På FortiAuthenticator må gruppa knytast til attributten og takast med i den matchende RADIUS-tenestepolicyen, med kontrollen for tilbakesending av gruppeattributten slått på der det er relevant.

Svaret kan lukkast utan attributten

For NPS eller ein annan RADIUS-server, handhev kataloggruppevilkåret i policyen og konfigurer deretter den støtta svarattributten. Ei vellukka passordkontroll produserer eit Access-Accept av seg sjølv, og eit Access-Accept utan gruppestreng er eit fullstendig gyldig svar som ikkje autoriserer noko på FortiGate-sida. Dette er den vanlegaste forma for problemet.

Å definere ei gruppe er ikkje det same som å sende ho. Det er to konfigurasjonstrinn på to ulike skjermar, og vanlegvis blir berre eitt av dei gjort.

Kvifor matching med Any er ei felle

Ei Any-fjerngruppematching er eit legitimt design når RADIUS-serveren allereie slepp inn nøyaktig den populasjonen du vil ha. Vel den delegeringa med vilje. Utvidar du matchinga for å bli kvitt ein manglande attributt, slepp du inn kvar konto som RADIUS-serveren tilfeldigvis godtek, også dei som aldri var meint å ha VPN-tilgang. Symptomet forsvinn, og tilgangskontrollen sluttar stille å eksistere.

Viss du ikkje kan namngje kven RADIUS-serveren skal sleppe inn, er du ikkje klar for ei Any-matching.

Ta vare på fire postar for support

Når det framleis ikkje verkar, samle fire ting: RADIUS-policyen som vart vald, gruppeattributten som faktisk vart returnert, FortiGate-serveren og verdien han vart matcha mot, og den resulterande lokale gruppa. Desse fire postane lokaliserer brotet utan å avsløre passord eller endre gruppemedlemskap for å sjå kva som skjer.

Test éin autorisert og éin konto utanfor omfanget under den verkelege regelen, og kontroller den resulterande policyen og ressurstilgangen samt autentiseringsresultatet. Berre paret fortel deg om matchinga gjer det du trur.