Kvifor eit RADIUS-VLAN-svar ikkje gjer noko for ein VPN-brukar

Du legg VLAN-attributtet til NPS-policyen, VPN-brukaren koplar til, og den berbare maskina landar framleis i standardpoolen. RADIUS-tenaren returnerer det du bad om, noko som får feilen til å sjå ut som eit cacheproblem. Det er han vanlegvis ikkje. Ein Access-Accept ber autorisasjonshint, og berre den nettverkstilgangstenaren som tok imot dei, kan gjere eitt av dei om til ei nettverkstildeling.

Start ved gatewayen, ikkje ved policyen

Gå gjennom kjeda frå klienten og innover før du endrar noko. Klienten ber gatewayen om ein sesjon, gatewayen spør RADIUS om brukaren kan få ein, og RADIUS svarar med eit resultat og eit sett attributt. Deretter brukar gatewayen det han veit korleis han skal bruke.

Gjennomgangen din startar ved steg fire, og derfor ser dei tre første sunne ut. Ingenting i utvekslinga pliktar gatewayen til å implementere eit attributt han tok imot. Svaret er ei førespurnad til gatewayen, ikkje eit faktum om klienten.

Kva svitsjen gjer som VPN ikkje kan

Ein 802.1X-tilgangssvitsj er ein autentikator med portar, og dynamisk VLAN-tildeling flyttar ein av desse portane til eit VLAN svitsjen allereie ber. RADIUS-tunnelattributta skildrar den intensjonen i ei form svitsjen forstår. Ein ruta VPN avsluttar tunnelar, ikkje svitsjportar, og klientane får vanlegvis ei adresse og ei rute i staden for medlemskap i eit kringkastingsdomene. Det er ingen port å flytte, så det same attributtet har ingenting å verke på.

Dette er ein modellskilnad, ikkje ein leverandørfeil. Nokre gatewayar legg til sin eigen gruppepolicy, poolval eller filtermekanisme som ser lik ut på eit skjermbilete. Andre implementerer ingenting av det, og attributtet blir logga og ignorert. Les dokumentasjonen for den fjernaksessmodusen du faktisk aktiverte, ikkje den på skjermbiletet.

Les svaret tenaren faktisk sende

Stadfest kva RADIUS returnerte i staden for kva policyeditoren viser. Ein testførespurnad med same brukarnamn og eit kjent passord skriv ut svarattributta i leseleg form, og det avgjer spørsmålet i eitt steg.

radtest alice secret 10.0.0.10 0 testing123

Viss VLAN-attributta manglar i det svaret, må du først rette policytreffet. Viss dei er til stades, har tenaren gjort sin del, og gapet er lenger nede.

Prov først sesjonspolicyen, deretter rekkevidda

Sjå no på sesjonen gatewayen bygde. Lista over aktive sesjonar viser poolen, den tildelte adressa og ein kvar gruppepolicy gatewayen festa, og det er det einaste beviset som tel for handhevinga. Samanlikn det med kva brukaren kan nå, ikkje med kva policyen hadde til hensikt.

swanctl --list-sas

Test deretter éin tillaten og éin avvist ressurs frå klienten, fordi ei adresse frå rett pool ikkje beviser isolasjon. Viss gatewayen ikkje har nokon mekanisme for tildelinga du ønskjer, lagar fleire kopiar av attributtet ingen. Ei adresse frå forventa pool kan finnast saman med full tilgang til alle andre pooler. Vel ein støtta policymekanisme eller endre nettverksdesignet med vilje.