FortiGate-VPN havner i feil gruppe: RADIUS-matching

Innloggingen lykkes, tunnelen kommer opp, og brukeren havner på feil policy eller ingen policy i det hele tatt. Ingenting i FortiGate-loggen varsler at gruppen manglet, for fra dens side virket autentiseringen og gruppematchingen ble rett og slett ikke utløst. Kjeden du må undersøke inneholder tre separate navn, og de er vanligvis ikke samme streng.

Tre navn med tre oppgaver

Skriv ned alle tre før du rører noen konfigurasjon, for to av dem lever på forskjellige systemer.

Kataloggruppen er det RADIUS-policyen din evaluerer. Den returnerte attributten er en verdi inne i Access-Accept-svaret. Den lokale FortiGate-gruppen er en beholder som policyen refererer til ved navn. Forveksler du to av dem, får du en innlogging som virker og en autorisasjon som ikke virker.

Hvor matchingen faktisk gjøres

Fortinets forklaring av RADIUS-gruppematching angir Fortinet-Group-Name som standard gruppeattributt. FortiGate sammenligner den konfigurerte fjernserveren og gruppenavnverdien med det svaret inneholder, altså sammenlignes det mot den returnerte strengen, ikke mot visningsnavnet til din lokale gruppe.

Det er derfor en lokal gruppe kalt VPN-Engineering kan stå ved siden av en returnert verdi vpn-engineering og ikke matche noe som helst. Store og små bokstaver og stavemåte er ikke kosmetikk i denne sammenligningen. Velg én streng, bruk den i svaret, og referer til samme streng i gatewayens matchningsregel.

På FortiAuthenticator må gruppen knyttes til attributten og tas med i den matchende RADIUS-tjenestepolicyen, med kontrollen for tilbakesending av gruppeattributtet aktivert der det er relevant.

Svaret kan lykkes uten attributten

For NPS eller en annen RADIUS-server, håndhev kataloggruppevilkåret i policyen og konfigurer deretter den støttede svarattributten. En vellykket passordkontroll produserer et Access-Accept av seg selv, og et Access-Accept uten gruppestreng er et fullstendig gyldig svar som ikke autoriserer noe på FortiGate-siden. Dette er den vanligste formen for problemet.

Å definere en gruppe er ikke det samme som å sende den. Det er to konfigurasjonstrinn på to forskjellige skjermer, og vanligvis gjøres bare ett av dem.

Hvorfor matching med Any er en felle

En Any-fjerngruppematching er et legitimt design når RADIUS-serveren allerede slipper inn nøyaktig den populasjonen du vil ha. Velg den delegeringen bevisst. Utvider du matchingen for å bli kvitt en manglende attributt, slipper du inn hver konto som RADIUS-serveren tilfeldigvis godtar, inkludert dem som aldri var ment å ha VPN-tilgang. Symptomet forsvinner, og tilgangskontrollen slutter stille å eksistere.

Hvis du ikke kan navngi hvem RADIUS-serveren skal slippe inn, er du ikke klar for en Any-matching.

Ta vare på fire poster for support

Når det fortsatt ikke virker, samle fire ting: RADIUS-policyen som ble valgt, gruppeattributten som faktisk ble returnert, FortiGate-serveren og verdien den ble matchet mot, og den resulterende lokale gruppen. Disse fire postene lokaliserer bruddet uten å avsløre passord eller endre gruppemedlemskap for å se hva som skjer.

Test én autorisert og én konto utenfor omfanget under den virkelige regelen, og kontroller den resulterende policyen og ressurstilgangen samt autentiseringsresultatet. Bare paret forteller deg om matchingen gjør det du tror.