VPN na FortiGate trafia do złej grupy: dopasowanie RADIUS
Fortinet-Group-Name jest porównywany z odpowiedzią, a nie z lokalną etykietą grupy. Sprawdź trzy nazwy, zanim rozszerzysz dopasowanie na Any.
Logowanie się udaje, tunel wstaje, a użytkownik trafia do złej polityki albo do żadnej. Nic w dzienniku FortiGate nie ogłasza, że brakowało grupy, bo po jego stronie uwierzytelnianie zadziałało, a dopasowanie grupy po prostu się nie uruchomiło. Łańcuch, który trzeba zbadać, zawiera trzy odrębne nazwy, i zwykle nie są one tym samym ciągiem.
Trzy nazwy, trzy zadania
Zapisz wszystkie trzy, zanim dotkniesz jakiejkolwiek konfiguracji, bo dwie z nich żyją w różnych systemach.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Grupa katalogowa to to, co ocenia Twoja polityka RADIUS. Zwrócony atrybut to wartość wewnątrz odpowiedzi Access-Accept. Lokalna grupa FortiGate to kontener, do którego polityka odwołuje się po nazwie. Pomylenie którychkolwiek dwóch z nich daje logowanie, które działa, i autoryzację, która nie działa.
Gdzie faktycznie odbywa się dopasowanie
Fortinet w swoim wyjaśnieniu dopasowania grup RADIUS podaje Fortinet-Group-Name jako domyślny atrybut grupy. FortiGate porównuje skonfigurowany serwer zdalny i wartość nazwy grupy z tym, co niesie odpowiedź, czyli porównanie odbywa się ze zwróconym ciągiem, a nie z wyświetlaną etykietą lokalnej grupy.
Dlatego lokalna grupa o nazwie VPN-Engineering może stać obok zwróconej wartości vpn-engineering i nie pasować do niczego. Wielkość liter i pisownia nie są w tym porównaniu kosmetyką. Wybierz jeden ciąg, użyj go w odpowiedzi i odwołaj się do tego samego ciągu w regule dopasowania bramy.
W FortiAuthenticator grupa musi być powiązana z atrybutem i uwzględniona w odpowiedniej polityce usługi RADIUS, z włączoną kontrolą zwracania atrybutu grupy, jeśli ma to zastosowanie.
Odpowiedź może się udać bez atrybutu
Dla NPS lub innego serwera RADIUS wymuś w polityce warunek grupy katalogowej, a następnie skonfiguruj obsługiwany atrybut odpowiedzi. Udane sprawdzenie hasła samo tworzy Access-Accept, a Access-Accept bez ciągu grupy jest całkowicie prawidłową odpowiedzią, która po stronie FortiGate niczego nie autoryzuje. To najczęstsza postać problemu.
Zdefiniowanie grupy to nie to samo co jej wysłanie. To dwa kroki konfiguracji na dwóch różnych ekranach, i zwykle wykonuje się tylko jeden z nich.
Dlaczego dopasowanie z Any to pułapka
Dopasowanie grupy zdalnej Any jest uzasadnionym projektem, gdy serwer RADIUS już dopuszcza dokładnie tę populację, której chcesz. Wybierz tę delegację świadomie. Rozszerzenie dopasowania, aby zniknął brakujący atrybut, przepuszcza każde konto, które serwer RADIUS akurat zaakceptuje, w tym te, które nigdy nie miały mieć dostępu do VPN. Objaw znika, a kontrola dostępu po cichu przestaje istnieć.
Jeśli nie potrafisz nazwać, kogo serwer RADIUS ma dopuszczać, nie jesteś gotowy na dopasowanie Any.
Zachowaj cztery zapisy na potrzeby wsparcia
Gdy nadal nie działa, zbierz cztery rzeczy: wybraną politykę RADIUS, faktycznie zwrócony atrybut grupy, serwer FortiGate i wartość, z którą go porównano, oraz wynikową grupę lokalną. Te cztery zapisy lokalizują usterkę bez ujawniania haseł i bez zmiany członkostwa w grupach, żeby zobaczyć, co się stanie.
Przetestuj jedno konto autoryzowane i jedno spoza zakresu według rzeczywistej reguły, i sprawdź wynikową politykę oraz dostęp do zasobów, a także wynik uwierzytelniania. Tylko ta para powie Ci, czy dopasowanie robi to, co myślisz.