VPN ਗਰੁੱਪ ਵਿੱਚ ਵਰਤੋਂਕਾਰ ਜੋੜਨਾ ਆਪਣੇ ਆਪ ਪਹੁੰਚ ਨਹੀਂ ਦਿੰਦਾ
ਗਰੁੱਪ ਮੈਂਬਰੀ ਇੱਕ ਸ਼ਰਤ ਹੈ, ਇਜਾਜ਼ਤ ਨਹੀਂ। ਦੇਖੋ ਗੇਟਵੇ ਨੇ ਅਸਲ ਵਿੱਚ ਕੀ ਮਿਲਾਇਆ, ਸਵੀਕਾਰ ਜਾਂ ਇਨਕਾਰ ਦਾ ਰਿਕਾਰਡ ਪੜ੍ਹੋ ਅਤੇ ਦੋਵੇਂ ਨਤੀਜੇ ਜਾਂਚੋ।
ਖਾਤਾ ਸਹੀ ਗਰੁੱਪ ਵਿੱਚ ਹੈ, ਲੌਗਇਨ ਸਫਲ ਹੋਇਆ, ਫਿਰ ਵੀ ਕਨੈਕਸ਼ਨ ਇਨਕਾਰ ਹੁੰਦਾ ਹੈ ਜਾਂ ਕਿਸੇ ਕੰਮ ਦੀ ਚੀਜ਼ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦਾ। ਕੁਝ ਢਿੱਲਾ ਨਾ ਹੋਣ ਤੱਕ ਗਰੁੱਪ ਜੋੜਨਾ ਆਮ ਪ੍ਰਤੀਕਿਰਿਆ ਹੈ, ਅਤੇ ਇਸ ਤਰ੍ਹਾਂ ਸੰਸਥਾਵਾਂ ਟਿਕਟ ਮੰਗ ਤੋਂ ਕਿਤੇ ਵੱਧ ਅਧਿਕਾਰ ਦਿੰਦੀਆਂ ਹਨ। ਗਰੁੱਪ ਮੈਂਬਰੀ ਅਧਿਕਾਰ ਫੈਸਲੇ ਦਾ ਇੱਕ ਇਨਪੁਟ ਹੈ, ਫੈਸਲਾ ਆਪ ਨਹੀਂ: ਗੇਟਵੇ ਸੈਸ਼ਨ ਦੇ ਤੱਥ ਇਕੱਠੇ ਕਰਕੇ ਕ੍ਰਮਬੱਧ ਨੀਤੀ ਨਾਲ ਮਿਲਾਉਂਦਾ ਹੈ ਅਤੇ ਫਿਰ ਫੈਸਲਾ ਕਰਦਾ ਹੈ। ਦੂਜੀ ਸ਼ਰਤ ਫੇਲ੍ਹ ਹੋਈ ਤਾਂ ਗਰੁੱਪ ਬਦਲਣਾ ਸਿਰਫ਼ ਤੁਹਾਡੀ ਖੁੱਲ੍ਹ ਬਦਲਦਾ ਹੈ।
ਗਰੁੱਪ ਮੈਂਬਰੀ ਸ਼ਰਤ ਹੈ, ਇਜਾਜ਼ਤ ਨਹੀਂ
RADIUS ਵਿੱਚ ਗਰੁੱਪ ਅਧਿਕਾਰ ਗੁਣ ਵਜੋਂ ਆਉਂਦਾ ਹੈ, ਅਤੇ ਗੁਣ ਸੈਸ਼ਨ ਦਾ ਵਰਣਨ ਕਰਦੇ ਹਨ, ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੰਦੇ। ਸਰਵਰ Access-Accept ਜਾਂ Access-Reject ਨਾਲ ਜਵਾਬ ਦਿੰਦਾ ਹੈ; ਸਵੀਕਾਰ ਵੇਲੇ Filter-Id, Class ਜਾਂ RFC 2868 ਦੇ ਟਨਲ ਗੁਣ ਜੋੜ ਸਕਦਾ ਹੈ। ਪ੍ਰੋਟੋਕੋਲ ਵਿੱਚ ਗਰੁੱਪ ਨੂੰ ਪੂਰੀ ਪਹੁੰਚ ਬਣਾਉਣ ਵਾਲਾ ਕੁਝ ਨਹੀਂ; ਉਹ ਮੈਪਿੰਗ ਨੀਤੀ ਬਣਾਉਣ ਵਾਲਾ ਲਿਖਦਾ ਹੈ।
ਇਸ ਲਈ ਇੱਕੋ ਗਰੁੱਪ ਨਾਮ ਦੋ ਸਿਸਟਮਾਂ ਵਿੱਚ ਵੱਖਰਾ ਵਿਵਹਾਰ ਕਰਦਾ ਹੈ। Microsoft NPS ਸ਼ਰਤਾਂ, ਸੀਮਾਵਾਂ ਅਤੇ ਸੈਟਿੰਗਾਂ ਤੋਂ ਨੈੱਟਵਰਕ ਨੀਤੀਆਂ ਬਣਾ ਕੇ ਨਿਰਧਾਰਤ ਕ੍ਰਮ ਵਿੱਚ ਮੁਲਾਂਕਣ ਕਰਦਾ ਹੈ। OpenVPN Access Server ਦੇ ਆਪਣੇ ਗਰੁੱਪ ਅਤੇ ਪਹੁੰਚ ਨਿਯਮ ਹਨ।
ਫੈਸਲਾ ਮਿਲੇ ਨਿਯਮ ਦਾ ਹੁੰਦਾ ਹੈ, ਤੁਹਾਡੀ ਉਮੀਦ ਵਾਲੇ ਗਰੁੱਪ ਦਾ ਨਹੀਂ
ਬਹੁਤੇ ਇੰਜਣ ਪਹਿਲੀ ਮਿਲਦੀ ਨੀਤੀ ਜਾਂ ਸਭ ਤੋਂ ਖਾਸ ਨੀਤੀ ਉੱਤੇ ਰੁਕਦੇ ਹਨ। ਨੀਤੀ 3 ਇਨਕਾਰ ਕਰੇ ਅਤੇ ਨੀਤੀ 7 ਇਜਾਜ਼ਤ ਦੇਵੇ ਤਾਂ ਸੈਸ਼ਨ ਉਸ ਨਿਯਮ ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਬਿਨਾਂ ਫੇਲ੍ਹ ਹੋ ਸਕਦਾ ਹੈ। ਕ੍ਰਮ NPS ਅਤੇ ਬਹੁਤੇ ਨੈੱਟਵਰਕ ਪਹੁੰਚ ਨਿਯੰਤਰਣ ਉਤਪਾਦਾਂ ਵਿੱਚ ਅਸਲ ਸੈਟਿੰਗ ਹੈ।
ਗਰੁੱਪ ਨਾਲ ਚੱਲਣ ਵਾਲੀਆਂ ਸ਼ਰਤਾਂ ਦੂਜਾ ਅੱਧ ਹਨ: ਡਿਵਾਈਸ ਸਥਿਤੀ, ਪ੍ਰਮਾਣਿਕਤਾ ਢੰਗ, ਪੂਰਾ MFA, ਸਰੋਤ ਨੈੱਟਵਰਕ, ਸਰਟੀਫਿਕੇਟ ਦਾ ਵਿਸ਼ਾ ਜਾਂ ਸਮਾਂ ਵਿੰਡੋ। ਇੱਕ ਵੀ ਪੂਰੀ ਨਾ ਹੋਵੇ ਤਾਂ ਨੀਤੀ ਨਹੀਂ ਮਿਲਦੀ, ਇੰਜਣ ਡਿੱਗਦਾ ਹੈ ਅਤੇ ਡਿਫਾਲਟ ਇਨਕਾਰ ਲਾਗੂ ਹੁੰਦਾ ਹੈ।
ਡਾਇਰੈਕਟਰੀ ਵੇਰਵੇ ਉਹੀ ਭੁਲੇਖਾ ਪੈਦਾ ਕਰਦੇ ਹਨ। Windows ਗਰੁੱਪ ਮੈਂਬਰੀ ਉੱਤੇ ਮਿਲਦੀ ਨੀਤੀ ਟੋਕਨ ਵਿੱਚ SID ਪੜ੍ਹਦੀ ਹੈ, ਉੱਥੇ ਸਿਰਫ਼ ਸੁਰੱਖਿਆ ਗਰੁੱਪ ਸੂਚੀਬੱਧ ਹੁੰਦੇ ਹਨ, ਵੰਡ ਗਰੁੱਪ ਕਦੇ ਨਹੀਂ ਦਿਸਦਾ।
ਗਰੁੱਪ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਸਵੀਕਾਰ ਜਾਂ ਇਨਕਾਰ ਦਾ ਰਿਕਾਰਡ ਪੜ੍ਹੋ
ਪਹਿਲਾਂ ਇੱਕ ਸਵਾਲ: ਬੇਨਤੀ ਅਧਿਕਾਰ ਪੜਾਅ ਤੱਕ ਪਹੁੰਚੀ? NPS ਵਿੱਚ ਜਵਾਬ ਇਵੈਂਟ ਲੌਗ ਵਿੱਚ ਹੈ, ਜਿੱਥੇ 6272 ਦਿੱਤੀ ਪਹੁੰਚ, 6273 ਇਨਕਾਰ ਅਤੇ 6274 ਨੀਤੀ ਮੁਲਾਂਕਣ ਤੋਂ ਪਹਿਲਾਂ ਸਰਵਰ ਵੱਲੋਂ ਸੁੱਟੀ ਬੇਨਤੀ ਦਰਜ ਕਰਦਾ ਹੈ। ਇਹ ਤਿੰਨ ਸੰਖਿਆਵਾਂ ਸਮੱਸਿਆ ਨੂੰ ਤਿੰਨ ਜਾਂਚਾਂ ਵਿੱਚ ਵੰਡਦੀਆਂ ਹਨ, ਸਿਰਫ਼ ਇੱਕ ਗਰੁੱਪਾਂ ਬਾਰੇ।
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
ਲੌਗ ਨਾ ਮਿਲੇ ਤਾਂ ਸਰਵਰ ਨੂੰ ਸਿੱਧਾ ਪੁੱਛੋ ਅਤੇ ਪੜ੍ਹੋ ਕਿ ਕੀ ਵਾਪਸ ਕਰਦਾ ਹੈ। Filter-Id ਅਤੇ ਟਨਲ ਗੁਣਾਂ ਤੋਂ ਬਿਨਾਂ ਜਵਾਬ ਕਹਿੰਦਾ ਹੈ ਕਿ ਸਰਵਰ ਸੈਸ਼ਨ ਨੂੰ ਆਮ ਮੰਨਦਾ ਹੈ ਅਤੇ ਗੇਟਵੇ ਆਪਣੇ ਨਿਯਮ ਲਾਉਂਦਾ ਹੈ।
radtest alice 'password' 10.0.0.5 0 testing123ਵਾਪਸ ਆਏ ਗੁਣਾਂ ਦੀ ਗੇਟਵੇ ਵੱਲੋਂ ਦਸਤਾਵੇਜ਼ ਕੀਤੇ ਗੁਣਾਂ ਨਾਲ ਤੁਲਨਾ ਕਰੋ, ਗਰੁੱਪ ਨਾਮ ਨਾਲ ਨਹੀਂ। ਇਹ ਤੁਲਨਾ ਨੀਤੀ ਦੀ ਸਮੱਸਿਆ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਸਮੱਸਿਆ ਤੋਂ ਵੱਖ ਕਰਦੀ ਹੈ।
ਗਰੁੱਪ ਬਦਲਾਅ ਪਿੱਛੇ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦਾ
ਅਧਿਕਾਰ ਗੁਣ ਸੈਸ਼ਨ ਪ੍ਰਮਾਣਿਤ ਹੋਣ ਵੇਲੇ ਇੱਕ ਵਾਰ ਵਾਪਸ ਆਉਂਦੇ ਹਨ। ਗੇਟਵੇ ਉਹਨਾਂ ਨੂੰ ਸੈਸ਼ਨ ਉੱਤੇ ਰੱਖਦਾ ਹੈ ਅਤੇ ਹਰ ਪੈਕੇਟ ਲਈ ਡਾਇਰੈਕਟਰੀ ਦੁਬਾਰਾ ਨਹੀਂ ਪੜ੍ਹਦਾ, ਇਸ ਲਈ ਕਿਸੇ ਨੂੰ ਗਰੁੱਪ ਤੋਂ ਹਟਾਉਣ ਮਗਰੋਂ ਵੀ ਸਥਾਪਿਤ ਸੈਸ਼ਨ ਚੱਲਦਾ ਰਹਿੰਦਾ ਹੈ।
ਬਦਲਾਅ ਲਾਗੂ ਹੋਣ ਲਈ ਨਵਾਂ ਅਧਿਕਾਰ ਫੈਸਲਾ ਚਾਹੀਦਾ ਹੈ, ਸਿਰਫ਼ ਨਵੀਆਂ ਚਾਬੀਆਂ ਨਹੀਂ। ਸਰਵਰ RFC 5176 ਸਮਰਥਨ ਕਰੇ ਤਾਂ UDP 3799 ਉੱਤੇ Disconnect-Request ਜਾਂ CoA-Request ਸੈਸ਼ਨ ਦਾ ਮੁੜ ਮੁਲਾਂਕਣ ਕਰਵਾਉਂਦਾ ਹੈ; ਨਹੀਂ ਤਾਂ ਕਲਾਇੰਟ ਕੱਟ ਕੇ ਦੁਬਾਰਾ ਜੁੜਨ ਦਿਓ।
ਸ਼ਰਤ ਸੁਧਾਰੋ, ਗਰੁੱਪ ਨਹੀਂ
ਕਿਹੜੀ ਨੀਤੀ ਚੱਲੀ ਪਤਾ ਲੱਗਣ ਮਗਰੋਂ ਸੁਧਾਰ ਆਮ ਤੌਰ ਉੱਤੇ ਛੋਟਾ ਹੁੰਦਾ ਹੈ: ਚਾਹੀ ਇਜਾਜ਼ਤ ਨੂੰ ਢੱਕਦੇ ਇਨਕਾਰ ਦਾ ਕ੍ਰਮ ਬਦਲੋ, ਨਿਸ਼ਾਨਾ ਨੀਤੀ ਵਿੱਚ ਗੁੰਮ ਡਿਵਾਈਸ ਜਾਂ MFA ਸ਼ਰਤ ਜੋੜੋ, ਜਾਂ ਵਰਤੋਂਕਾਰ ਨੂੰ ਹੋਰ ਦਸ ਲੈ ਜਾਣ ਵਾਲੇ ਗਰੁੱਪ ਵਿੱਚ ਚੁੱਕਣ ਦੀ ਥਾਂ ਇੱਕ ਸਰੋਤ ਲਈ ਤੰਗ ਨਿਯਮ ਲਿਖੋ।
ਛੋਟਾ ਚੱਕਰ ਬਦਲਾਅ ਨੂੰ ਇਮਾਨਦਾਰ ਰੱਖਦਾ ਹੈ:
- ਮੂਲ ਖਾਤੇ ਨਾਲ ਇਨਕਾਰ ਦੁਬਾਰਾ ਪੈਦਾ ਕਰੋ ਅਤੇ ਕੁਝ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਇਵੈਂਟ ID ਲਿਖੋ।
- ਇੱਕ ਹੀ ਵਸਤੂ ਬਦਲੋ, ਨੀਤੀ ਕ੍ਰਮ, ਇੱਕ ਸ਼ਰਤ ਜਾਂ ਇੱਕ ਗਰੁੱਪ, ਅਤੇ ਲਿਖੋ ਕਿਹੜਾ।
- ਨਵਾਂ ਸੈਸ਼ਨ ਖੋਲ੍ਹੋ, ਲੌਗ ਵਿੱਚ ਇਜਾਜ਼ਤ ਦਿਸਦੀ ਹੈ ਅਤੇ ਸਰੋਤ ਸੱਚਮੁੱਚ ਖੁੱਲ੍ਹਦਾ ਹੈ ਪੱਕਾ ਕਰੋ।
- ਅਜੇ ਵੀ ਇਨਕਾਰ ਹੋਣਾ ਚਾਹੀਦਾ ਵਰਤੋਂਕਾਰ ਜਾਂਚੋ, ਸੁਧਾਰ ਨੇ ਨੀਤੀ ਗਲਤੀ ਨਾਲ ਨਾ ਖੋਲ੍ਹੀ ਹੋਵੇ।
ਇਜਾਜ਼ਤ ਠੀਕ ਹੈ ਪਰ ਸਰੋਤ ਨਹੀਂ ਖੁੱਲ੍ਹਦਾ ਤਾਂ ਅਧਿਕਾਰ ਪਾਰ ਹੋਣ ਵੇਲੇ ਹੀ ਸਮੱਸਿਆ ਰੂਟਿੰਗ ਜਾਂ ਨਾਮ ਹੱਲ ਵੱਲ ਚਲੀ ਗਈ। ਦੋਵੇਂ ਖਰਾਬੀਆਂ ਵੱਖ ਰੱਖੋ, ਅਗਲੀ ਟਿਕਟ ਮਿੰਟ ਲਵੇਗੀ।