Hvorfor et RADIUS-VLAN-svar ikke betyr noe for en VPN-bruker

Du legger til VLAN-attributtet i NPS-policyen, VPN-brukeren kobler seg på, og den bærbare maskinen havner fortsatt i standardpoolen. RADIUS-serveren returnerer det du ba om, noe som gjør at feilen ser ut som et cache-problem. Som regel er den ikke det. En Access-Accept inneholder autorisasjonshint, og bare den nettverkstilgangsserveren som mottok dem, kan gjøre ett av dem til en nettverkstildeling.

Begynn ved gatewayen, ikke ved policyen

Følg kjeden fra klienten og innover før du endrer noe som helst. Klienten ber gatewayen om en sesjon, gatewayen spør RADIUS om brukeren kan få en, og RADIUS svarer med et resultat og et sett attributter. Deretter anvender gatewayen det den vet hvordan den skal anvende.

Gjennomgangen din begynner ved trinn fire, og derfor ser de tre første friske ut. Ingenting i utvekslingen tvinger gatewayen til å implementere et attributt den mottok. Svaret er en forespørsel til gatewayen, ikke et faktum om klienten.

Hva svitsjen gjør som VPN ikke kan

En 802.1X-tilgangssvitsj er en autentiseringsenhet med porter, og dynamisk VLAN-tildeling flytter en av disse portene til et VLAN svitsjen allerede fører. RADIUS-tunnelattributtene beskriver den hensikten i en form svitsjen forstår. En rutet VPN avslutter tunneler, ikke svitsjporter, og klientene får vanligvis en adresse og en rute i stedet for medlemskap i et kringkastingsdomene. Det finnes ingen port å flytte, så det samme attributtet har ingenting å virke på.

Dette er en modellforskjell, ikke en leverandørfeil. Enkelte gatewayer legger til sin egen gruppepolicy, poolvalg eller en filtermekanisme som ser lik ut på et skjermbilde. Andre implementerer ingenting av dette, og attributtet loggføres og ignoreres. Les dokumentasjonen for den fjernaksessmodusen du faktisk slo på, ikke den som vises på skjermbildet.

Les svaret serveren faktisk sendte

Bekreft hva RADIUS returnerte i stedet for hva policyredigeringen viser. En testforespørsel med samme brukernavn og et kjent passord skriver ut svarattributtene i lesbar form, og det avgjør spørsmålet i ett trinn.

radtest alice secret 10.0.0.10 0 testing123

Hvis VLAN-attributtene mangler i svaret, retter du først opp policytreffet. Hvis de er til stede, har serveren gjort sin del, og gapet ligger lenger ned.

Bevis først sesjonspolicyen, deretter rekkevidden

Se nå på sesjonen gatewayen bygde. Listen over aktive sesjoner viser poolen, den tildelte adressen og enhver gruppepolicy gatewayen festet, og det er det eneste beviset som betyr noe for håndhevelsen. Sammenlign det med det brukeren kan nå, ikke med det policyen hadde tenkt.

swanctl --list-sas

Deretter tester du én tillatt og én avvist ressurs fra klienten, fordi en adresse fra riktig pool ikke beviser isolasjon. Hvis gatewayen ikke har noen mekanisme for tildelingen du ønsker, lager flere kopier av attributtet ingen. En adresse fra forventet pool kan eksistere sammen med full tilgang til alle andre pooler. Velg en støttet policymekanisme eller endre nettverksdesignet med vilje.